Het kernidee is om te voorkomen dat één account of gebruiker het volledige scala aan beheerdersrechten krijgt. In plaats daarvan verdeelt u de administratieve verantwoordelijkheden in kleinere, meer specifieke rollen:

* Domeinbeheerders: Deze accounts hebben vrijwel volledige controle over het hele domein. Dit zou een zeer beperkte groep van zeer vertrouwde individuen moeten zijn.

* Bedrijfsbeheerders: Deze groep heeft het hoogste niveau van bevoegdheden in een Active Directory-forest. De leden kunnen alle domeinen in het forest beheren. De toegang moet uiterst beperkt zijn.

* Serverbeheerders: Accounts met beheerdersrechten die specifiek zijn voor één server. Deze kunnen worden gebruikt voor het beheren van applicaties, services of andere aspecten van een server zonder domeinbrede toegang te verlenen.

* Specifieke applicatiebeheerders: Voor taken zoals het beheren van een databaseserver of webserver kunt u afzonderlijke gebruikersaccounts maken die alleen de bevoegdheden hebben die vereist zijn voor die toepassingen.

De voordelen van deze scheiding zijn onder meer:

* Verkleind aanvalsoppervlak: Als één account wordt gecompromitteerd, blijft de schade beperkt tot de taken die het account kan uitvoeren. Een gecompromitteerd domeinbeheerdersaccount is veel verwoestender dan een gecompromitteerd account met slechts toegang tot één enkele applicatieserver.

* Verbeterde verantwoording: Het is gemakkelijker om bij te houden wie welke wijzigingen heeft aangebracht als beheerders duidelijk gedefinieerde rollen en verantwoordelijkheden hebben.

* Privilegeprincipe: Elke gebruiker of dienst heeft slechts de minimale machtigingen die nodig zijn om zijn taken uit te voeren.

Rollenscheiding implementeren in Windows Server 2008:

Dit bereik je vooral door:

* Specifieke gebruikersaccounts en groepen aanmaken: In plaats van voor alles het ingebouwde beheerdersaccount te gebruiken, kunt u veel kleinere, meer gerichte accounts maken.

* Groepsbeleid gebruiken: Om specifieke rechten en machtigingen toe te wijzen aan deze accounts en groepen.

* Delegatie van controle: Gebruik maken van de delegatiefuncties van Active Directory om alleen de noodzakelijke rechten te verlenen aan specifieke gebruikers of groepen voor het beheren van bepaalde bronnen.

* Verschillende serviceaccounts gebruiken: Services uitvoeren onder accounts met minimale rechten.

Samenvattend is de "scheiding van beheerdersrollen" in Windows Server 2008 geen unieke functie, maar een beveiligingsstrategie die wordt geïmplementeerd via zorgvuldig gebruikersaccountbeheer, groepsbeleid en het naleven van het principe van de minste privileges. Het is een cruciaal aspect bij het beveiligen van een Windows Server 2008-omgeving.