Umsetzung des AGDLP-Prinzips in Windows

Das AGDLP-Prinzip wird in Active Directory-Umgebungen verwendet, um Berechtigungen übersichtlich und effizient zu verwalten.

Account → Global Group → Domain Local Group → Permissions
👤 A = Account (Benutzerkonto)

Benutzerkonten werden nicht direkt mit Berechtigungen versehen, sondern einer globalen Gruppe zugeordnet.

Beispiel: Benutzer „Max Mustermann“

👥 G = Global Group (Globale Gruppe)

Benutzer mit ähnlichen Aufgaben werden in einer globalen Gruppe zusammengefasst.

Beispiel: GG_Buchhaltung

🛂 DL = Domain Local Group (Domänenlokale Gruppe)

Diese Gruppen repräsentieren die Berechtigungen auf eine bestimmte Ressource.

Beispiel: DL_Finanzen_RW (Read/Write)

📁 P = Permissions (Berechtigungen)

Die eigentlichen NTFS- oder Freigabeberechtigungen werden ausschließlich der domänenlokalen Gruppe zugewiesen.

🧠 Praxisbeispiel

Ein Mitarbeiter der Buchhaltung benötigt Schreibzugriff auf den Ordner „Finanzen“:

Der Benutzer erhält seine Rechte also indirekt über die Gruppenstruktur.

Warum wird AGDLP verwendet?

Vorteil Nutzen
Einfache Verwaltung Berechtigungen müssen nur an einer Stelle geändert werden
Übersichtlichkeit Klare Trennung zwischen Benutzern und Ressourcen
Sicherheit Weniger Fehlkonfigurationen
Skalierbarkeit Geeignet für große Active-Directory-Umgebungen
Prüfungsantwort (kurz):

In Windows-Umgebungen werden Benutzerkonten globalen Gruppen zugeordnet. Die globalen Gruppen werden Mitglied von domänenlokalen Gruppen. Die Berechtigungen auf Ressourcen werden ausschließlich den domänenlokalen Gruppen zugewiesen. Dadurch entsteht die Struktur: Account → Global Group → Domain Local Group → Permission (AGDLP).
Merksatz für die FISI-Prüfung:

👤 Benutzer bekommen niemals direkt Rechte auf Ordner.
👥 Rechte werden über Gruppen vererbt:

Benutzer → Rolle → Berechtigungsgruppe → Ressource