Når en AD-test viser en vej fra en almindelig klient til fuld kontrol over kataloget, kan anbefalingen i rapporten være lagdelt administration. Begrebet lyder som et stort projekt, og det kan det blive. Svaret på, hvad det betyder, hviler dog på et enkelt princip: systemer, der styrer alt, må ikke kunne styres fra systemer, der er mindre beskyttede. En administrator, der passer domænecontrollere, skal ikke logge på en almindelig klient med den samme konto, og en klient skal ikke kunne bruges som trinbræt til kataloget.
Princippet kan indføres i trin. Det første trin kan give mest.
Princippet i én sætning
Microsofts anbefalinger for at sikre Active Directory siger det kort: administrer aldrig et betroet system fra en vært, der er mindre betroet. Lagdelt administration er måden at gøre den regel praktisk på. Systemerne inddeles i niveauer efter, hvor meget de kan styre, og hvert niveau får sine egne konti, sine egne maskiner til administration og sine egne regler for, hvor kontiene må bruges.
NCSC i Storbritannien beskriver det samme som at styre risikoen ved administration gennem niveauer, fordi nogle former for adgang kan gøre mere skade end andre.
Niveauerne forklaret
Den klassiske AD-model har tre niveauer. Microsoft har siden udvidet tankegangen til en bredere model, der også dækker skyen, men grundtanken er den samme.
- Det øverste niveau · det, der styrer identiteter og adgang for alle: domænecontrollere, kataloget selv og systemer med tilsvarende magt, fx certifikattjenester og synkroniseringen til skyen. Microsoft kalder det i den nye model kontrolplanet.
- Det mellemste niveau · servere og systemer, der driver forretningen: filservere, databaser, forretningssystemer og de platforme, de kører på.
- Det nederste niveau · brugernes klienter og de konti, der administrerer dem, fx servicedesken.
Hvor grænserne præcis går, afhænger af jeres miljø. I en mindre virksomhed kan det mellemste og nederste niveau ligge tæt, mens det øverste stadig bør stå klart for sig. Reglen er, at en konto fra et højere niveau ikke logger på et lavere niveau. Det betyder ikke, at det nederste niveau er uvigtigt. Det betyder, at det er det mest udsatte, og at det derfor ikke må give vej opad.
Hvorfor rapporten anbefaler det
Rapporten fra en AD-test kan beskrive en vej, hvor hvert led krydser et niveau: en almindelig klient, hvor en serveradministrator har været logget på; en server, hvor en domæneadministrator har kørt en opgave; og derfra adgang til kataloget. Hvert led for sig ligner almindelig drift. Lagdelingen bryder vejen ved at forhindre, at de betroede konti efterlader spor på de lavere niveauer. Det er en anden type rettelse end at lukke et enkelt hul: den fjerner ikke én svaghed, men gør en hel klasse af veje vanskeligere, også dem testen ikke nåede at finde.
Derfor kan anbefalingen komme sammen med andre fund: for mange administratorer, én konto til alt og samme lokale adgangskode på mange maskiner. Lagdelingen er rammen, som de andre rettelser passer ind i. → Én konto til alt
Hvor I begynder
Lagdeling behøver ikke indføres på én gang. Start i toppen, fordi det er der, en enkelt fejl får størst konsekvens.
- Definér det øverste niveau · lav en liste over de systemer og konti, der kan styre hele kataloget. Medtag certifikattjenester, synkronisering og backup af domænecontrollere. → Domænecontrollere
- Giv det egne konti · administratorer på det øverste niveau får særskilte konti, der kun bruges der.
- Giv det egne maskiner · administration af det øverste niveau sker fra dedikerede maskiner eller et særskilt administrationsnet, ikke fra den bærbare med mail. → Administrationsnet
- Begræns login · konti fra det øverste niveau forhindres i at logge på servere og klienter på de lavere niveauer.
- Tag de næste niveauer · når toppen er på plads, gentages øvelsen for serverne og derefter for klienterne.
Tidsbegrænsede rettigheder passer godt ind. Er de højeste rettigheder kun aktive, når de bruges, er der færre konti at beskytte på et givet tidspunkt. → Tidsbegrænsede administratorrettigheder
Det, der er let at glemme
Lagdeling handler ikke kun om personer. En række systemer har i praksis rettigheder på det øverste niveau uden at blive behandlet sådan.
- Backup · et system, der kan gendanne domænecontrollere, kan også læse dem. → Backupsystemet som mål
- Virtualisering · den, der styrer platformen, som domænecontrollerne kører på, styrer også domænecontrollerne. → Virtualiseringsplatformen som testområde
- Driftsværktøjer · systemer, der installerer software eller opdateringer på alle maskiner, herunder domænecontrollere, har tilsvarende magt.
- Tjenestekonti · konti, som disse systemer bruger, hører til det niveau, de kan styre.
Microsoft anbefaler blandt andet at holde opdatering og styring af domænecontrollere adskilt fra den øvrige infrastruktur, netop fordi et kompromitteret driftsværktøj ellers kan nå alt.
Når driften er lagt ud
For en virksomhed med en driftsleverandør er lagdeling også et spørgsmål om aftaler. Leverandørens teknikere skal have konti, der passer til niveauerne, og leverandørens egne systemer til fjernstyring kan ligge på det øverste niveau, hvis de når domænecontrollerne. Stil spørgsmålet direkte: hvilke af jeres systemer og konti kan styre vores katalog, og hvordan er de beskyttet?
Svaret kan være ubehageligt. Et værktøj til fjernstyring, som leverandøren bruger hos mange kunder, og som har adgang til jeres domænecontrollere, gør i praksis leverandørens miljø til en del af jeres øverste niveau. Det er ikke nødvendigvis forkert, men det skal være et bevidst valg, og det skal fremgå af aftalen, hvordan leverandøren beskytter netop den adgang. → Driftsværktøjer med bred adgang
Det skal I lade være med
- At starte med klienterne. Begynd i toppen, hvor konsekvensen er størst.
- At glemme backup, virtualisering og driftsværktøjer. De kan have samme magt som domænecontrollerne.
- At oprette nye konti uden at begrænse, hvor de må bruges. Så er adskillelsen kun et navn.
- At gøre lagdelingen så tung, at den omgås. En model, ingen følger, beskytter ingenting.
- At se det som et projekt med en slutdato. Nye systemer skal placeres i et niveau, når de kommer til.
Hvad kan og ikke kan konkluderes
Testen kan vise, hvor vejene krydsede niveauer i testperioden, og hvilke led der var lettest at bryde. Den kan ikke vise, hvilken inddeling der passer til jeres organisation, og en indført lagdeling er først bevist, når en senere test viser, at vejene er brudt. → Klar til retest
Tjekliste til lagdelt administration
- ☐ Er det øverste niveau defineret, herunder certifikattjenester, backup og virtualisering?
- ☐ Har administratorer på det øverste niveau særskilte konti?
- ☐ Sker administration af det øverste niveau fra dedikerede maskiner?
- ☐ Er login for konti fra det øverste niveau begrænset til det niveau?
- ☐ Er driftsværktøjer, der når domænecontrollerne, behandlet som en del af det øverste niveau?
- ☐ Er leverandørens konti og systemer placeret i niveauerne?
Kilder
- Microsoft Learn: Enterprise access model: kontrolplan, administrationsplan og data- og arbejdsplan som videreudvikling af den lagdelte AD-model og princippet om, at lavere niveauer ikke må kunne styre højere.
- Microsoft Learn: Best practices for securing Active Directory: administrer aldrig et betroet system fra en mindre betroet vært.
- Microsoft Learn: Securing domain controllers against attack: opdatering og styring af domænecontrollere adskilt fra den øvrige infrastruktur.
- NCSC: Secure system administration: risikostyring af administration gennem niveauer.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Én konto til alt · Privilegerede grupper i Active Directory
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
