Bundesamt für Sicherheit in der Informationstechnik

M 2.409 Planung der Partitionierung und Replikation im Verzeichnisdienst

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator, Leiter IT

Ein skalierbarer Verzeichnisdienst bietet die Möglichkeit, Teile der Verzeichnisdatenbank in Partitionen zu zerlegen und auf verschiedene Verzeichnisdienst-Server zu verteilen. Dies verkürzt die mittleren Zugriffszeiten, da Suchabfragen sich unter Umständen nur auf eine spezielle Partition und nicht den gesamten Verzeichnisbaum erstrecken. Außerdem erhöht es die Ausfallsicherheit, da bei einem Serverausfall nur die dort befindliche Partition und nicht die gesamte Verzeichnisdatenbank betroffen ist. Weiterhin erlaubt es die Partitionierung, die Daten gemäß einer zuvor vorgenommenen Klassifizierung auf entsprechend gesicherte Server zu verteilen.

Bei der Planung der Partitionierung sind die vom Verzeichnisdienst definierten Regeln für Partitionen zu berücksichtigen. Partitionen können wiederum Unterpartitionen enthalten, welche ebenfalls gemäß den festgelegten Regeln gebildet werden müssen.

Neben dem Mechanismus der Partitionierung des Verzeichnisbaums bieten Verzeichnisdienste die Möglichkeit, Teile des Verzeichnisbaums auf andere Verzeichnisdienst-Server zu replizieren. In der Terminologie von Verzeichnisdiensten werden die replizierten Teilbereiche dabei als Repliken oder Reproduktionen bezeichnet. Bei der Planung der Replikation ist insbesondere eine Analyse des zu erwartenden Netzverkehrs zu machen, um hier die Erfordernisse an die Bandbreite der Kommunikationsverbindungen festzustellen oder bei vorgegebenen Netz-Parametern die Topologie der Repliken daran auszurichten.

Bei der Planung der Partitionen sollten folgende Punkte beachtet werden:

  • Berücksichtigung des Schutzbedarfs: Die Informationen, die im Verzeichnis gehalten werden, sollten gemäß ihrem Schutzbedarf klassifiziert werden. Anhand dieser Klassifizierung sollte die Verteilung der Objekte auf entsprechend geschützte Server erfolgen. Dabei ist darauf zu achten, dass besonders Objekte mit schützenswerten Informationen wie beispielsweise kryptographischen Schlüsseln auf einem ausreichend abgesicherten Server gelagert werden.
  • Geforderte Verfügbarkeit des Verzeichnisdienstes: Zur Verbesserung der Lastverteilung müssen hinreichend viele Repliken der Verzeichnisdaten auf Verzeichnisdienst-Servern angelegt werden.
  • Verteilung der Administrationsaufgaben: Damit eine Rollentrennung der Administrationsaufgaben mit der Trennung der Datenhaltung einhergeht, sollten die Administrationsaufgaben auf einzelne Partitionen verteilt werden.
  • Verzeichnisdienst-Regeln zur Partitionierung: Die Regeln zur Verzeichnisdienst-Partionierung müssen festgelegt und eingehalten werden. Die wesentlichen Regeln dabei sind:
    • Jede Partition beginnt hierarchisch mit einem einzelnen Container-Objekt.
    • Die Partition muss ein zusammenhängender Unterbaum (Sub-Tree) des Verzeichnisdienst-Baums sein.
    • Verschiedene Partitionen dürfen sich nicht überschneiden.
    • Der Name der Partition muss der Fully Qualified Distinguished Name ( FQDN ) des Wurzelobjekts der Partition sein.

Bei der Planung der Replikationen sind folgende Punkte zu berücksichtigen:

  • Aus den Anforderungen an Verfügbarkeit und Ausfallsicherheit des Verzeichnisdienstes müssen die Vorgaben für die Anzahl der anzulegenden Replikationen abgeleitet werden.
  • Die geforderte Systemperformance führt zur Planung der Lastverteilung.
  • Es muss entschieden werden, ob durch die Definition von Filtern für Replikationen ein Sicherheitsgewinn erzielt werden kann.
    Dieser Sicherheitsgewinn liegt vor allem in der Möglichkeit einer getrennten Datenhaltung entsprechend einer zuvor vorgenommenen Klassifizierung der Daten. Es kann damit das Grundprinzip realisiert werden, dass jeder Verzeichnisdienst-Server nur diejenigen Daten hält, welche er "benötigt" (bzw. welche die zugreifenden Nutzer oder Applikationen benötigen).
    Bei unbedachter Konfiguration einer Replikation kann die Systemleistungsfähigkeit verringert werden. Sind gesuchte Daten auf einem Verzeichnisdienst-Server nicht vorhanden bzw. nicht sichtbar, weil sie durch entsprechende Filterregeln ausgeblendet sind, so wird im Hintergrund weitergesucht (sofern dies zugelassen ist). Eine nicht bedarfsgerechte Konfiguration der Filterregeln kann also die Leistungsfähigkeit des Systems negativ beeinflussen.

Die genauen Kontexte der Server, welche Partitionen bzw. Replikationen halten, beachtet werden. Ist die Struktur zu flach, so entsteht ein hoher interner Replizierungsaufwand. Darüber hinaus führen einzelne, momentan nicht verfügbare Server zu entsprechenden Statusmeldungen bei sämtlichen weiteren in diese Replizierung eingebundenen Verzeichnisdienst-Servern.

Prüffragen:

  • Wurde bei der Partitionierung auf die Verfügbarkeit und den Schutzbedarf des Verzeichnisdienstes geachtet?

  • Steht eine ausreichende Bandbreite zur Verfügung, um die Replikationen zeitgerecht auszuführen?

Stand: 13. EL Stand 2013

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK