Identity Service Engine und Active Directory verstehen

Einleitung

In diesem Dokument wird die Kommunikation zwischen Identity Service Engine (ISE) und Active Directory (AD), den verwendeten Protokollen, AD-Filtern und Datenflüssen beschrieben.

---

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Grundkenntnisse in folgenden Bereichen verfügen:

• Externe Identitätsauthentifizierung auf der ISE
• ISE 2.x- und Active Directory-Integration

---

Verwendete Komponenten

• ISE 2.x 
• Windows Server (Active Directory) 

---

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

---

AD-Protokolle

Kerberos-Protokoll  

Die drei Kerberos-Chefs umfassen das Key Distribution Center (KDC), den Client-Benutzer und den Server für den Zugriff. Der KDC wird als Teil des Domänencontrollers (DC) installiert und führt zwei Dienstfunktionen aus: Der Authentifizierungsdienst (AS) und der Ticket-Granting-Dienst (TGS).

---

Beim ersten Zugriff des Clients auf eine Serverressource sind drei Austauschvorgänge erforderlich:

1. AS-Austausch
2. TGS-Exchange
3. Client/Server (CS) Exchange

---

---

• Domänencontroller = KDC (AS + TGS)
• Authentifizierung bei AS (dem SSO-Portal) mit Ihrem Kennwort
• Erhalten eines Ticket Granting Tickets (TGT) (ein Sitzungscookie)
• Anforderungsanmeldung bei einem Service (SRV01)
• SRV01 leitet Sie zum KDC um.
• TGT dem KDC anzeigen - (Ich bin bereits authentifiziert)
• KDC bietet TGS für SRV01
• Umleitung zu SRV01
• Zeigt das Service-Ticket zum SRV01 an.
• SRV01 überprüft/vertraut Service-Ticket
• Das Service-Ticket enthält alle meine Informationen.
• SRV01 meldet mich an

---

Bei der erstmaligen Anmeldung bei einem Netzwerk müssen die Benutzer den Zugriff aushandeln und einen Anmeldenamen und ein Kennwort angeben, die vom AS-Teil eines KDC in ihrer Domäne überprüft werden müssen. Der KDC hat Zugriff auf die Active Directory-Benutzerkontoinformationen. Nach der Authentifizierung erhält der Benutzer ein Ticket Granting Ticket (TGT), das für die lokale Domäne gültig ist. Das TGT hat eine standardmäßige Lebensdauer von 10 Stunden und wird während der Benutzeranmeldesitzung verlängert, ohne dass der Benutzer das Kennwort erneut eingeben muss. Das TGT wird auf dem lokalen System im flüchtigen Speicherplatz zwischengespeichert und zum Anfordern von Sitzungen mit Diensten im gesamten Netzwerk verwendet.

---

Der Benutzer zeigt das TGT dem TGS-Teil des KDC an, wenn der Zugriff auf einen Serverdienst erforderlich ist. Das TGS auf dem KDC authentifiziert den Benutzer-TGT und erstellt ein Ticket und einen Sitzungsschlüssel für den Client und den Remote-Server. Diese Informationen (das Service-Ticket) werden dann lokal auf dem Client-Rechner zwischengespeichert. Der TGS empfängt den Client TGT und liest mit seinem eigenen Schlüssel. Wenn das TGS die Client-Anforderung genehmigt, wird sowohl für den Client als auch für den Zielserver ein Service-Ticket generiert. Der Client liest seinen Teil mit dem TGS-Sitzungsschlüssel, der zuvor aus der AS-Antwort abgerufen wurde. Der Client zeigt den Serverteil der TGS-Antwort an den Zielserver im nächsten Client/Server-Austausch an.

---

Beispiel:

---

Paketerfassung von der ISE für einen authentifizierten Benutzer:

---

Die AS-REQ enthält den Benutzernamen. Wenn das Kennwort richtig ist, stellt der AS-Dienst ein TGT bereit, das mit dem Benutzerkennwort verschlüsselt wird. Dem TGT wird dann der TGT-Dienst bereitgestellt, um ein Sitzungsticket zu erhalten. Die Authentifizierung ist erfolgreich, wenn ein Sitzungsticket empfangen wird.

---

Dies ist ein Beispiel, bei dem das vom Client angegebene Kennwort falsch ist:

---

Wenn das Kennwort falsch ist, schlägt die AS-Anforderung fehl, und das TGT wird nicht empfangen:

---

Im folgenden Beispiel handelt es sich um Protokolle in der Datei ad_agent.log, wenn das Kennwort falsch ist:

2020-01-14 13:36:05,442 DEBUG ,140574072981248,krb5: Anfrage (276 Byte) an RALMAAIT.COM,LwKrb5TraceCallback(),lwadvapi/threaded/lwkrb5.c:1325 gesendet

2020-01-14 13:36:05,444 DEBUG ,140574072981248,krb5: Fehler von KDC empfangen: -1765328360/Vorauthentifizierung fehlgeschlagen,LwKrb5TraceCallback(),lwadvapi/threaded/lwkrb5.c:1325

2020-01-14 13:36:05,444 DEBUG ,140574072981248,krb5: Eingabetypen für Vorauth wiederholen: 16, 14, 19, 2,LwKrb5TraceCallback(),lwadvapi/threaded/lwkrb5.c:1325

2020-01-14 13:36:05,444 WARNUNG,140574072981248,[LwKrb5GetTgtImpl ../../lwadvapi/threaded/krbtgt.c:329] KRB5 Fehlercode: -1765328360 (Nachricht: Preauthentication fehlgeschlagen),LwTranslateKrb5Error(),lwadvapi/threaded/lwkrb5.c:892

2020-01-14 13:36:05,444 DEBUG ,140574072981248,[LwKrb5InitializeUserLoginCredentials()] Fehlercode: 40022 (Symbol: LW_ERROR_PASSWORD_MISMATCH),LwKrb5InitializeUserLoginCredentials(),lwadvapi/threaded/lwkrb5.c:1453

---

MS-RPC-Protokoll

Die ISE verwendet MS-RPC über SMB, und SMB stellt die Authentifizierung bereit und benötigt keine separate Sitzung, um den Standort eines bestimmten RPC-Services zu ermitteln. Es verwendet einen Mechanismus namens "Named Pipe" für die Kommunikation zwischen dem Client und dem Server.

---

• SMB-Sitzungsverbindung erstellen
• Transport von RPC-Nachrichten über SMB/CIFS.TCP Port 445 als Transportmedium 
• SMB-Sitzung ermittelt, welcher Port von einem bestimmten RPC-Dienst ausgeführt wird und behandelt die Benutzerauthentifizierung
• Verbindung zu versteckter Freigabe IPC$ für prozessübergreifende Kommunikation herstellen
• Öffnen Sie eine passende Named Pipe für die gewünschte RPC-Ressource/-Funktion.
• Transaktion des RPC-Austauschs über SMB

---

---

Die Anforderungs-/Antwortzeile für das Verhandlungsprotokoll verhandelt den Dialekt von SMB, und die Anforderung/Antwort für die Sitzungseinrichtung führt die Authentifizierung durch. Strukturverbindungsanforderung und -antwort stellen eine Verbindung mit der angeforderten Ressource her. Sie sind mit einer speziellen Freigabe IPC$ verbunden. Diese prozessübergreifende Kommunikationsfreigabe stellt die Kommunikationsmittel zwischen Hosts und auch als Transport für MSRPC-Funktionen bereit.

---

Paket 77 ist die Create Request File (Anforderungsdatei erstellen) und der Dateiname ist der Name des verbundenen Dienstes (in diesem Beispiel der Netzwerkanmeldedienst).

Die Pakete 83 und 86 sind die NetLogonSamLogonEX-Anforderung, mit der Sie den Benutzernamen für die Client-Authentifizierung auf der ISE an das AD im Feld Network_INFO senden. Das NetLogonSamLogonEX-Antwortpaket antwortet mit den Ergebnissen.

---

Einige Flags-Werte für die NetlogonSamLogonEX-Antwort:

0xc000006a ist STATUS_WRONG_PASSWORD
0x00000000 ist STATUS_SUCCESS.
0x00000103 ist STATUS_PENDING

---

ISE-Integration mit Active Directory (AD)

Die ISE verwendet LDAP, KRB und MSRBC für die Kommunikation mit AD während des Join/Leave- und Authentifizierungsprozesses. In den nächsten Abschnitten werden die Protokolle, das Suchformat und die Mechanismen beschrieben, die für die Verbindung mit einem bestimmten AD-Rechenzentrum und die Benutzerauthentifizierung für diesen Rechenzentrum verwendet werden. Wenn das Rechenzentrum aus irgendeinem Grund offline geht, wird ein Failover von der ISE auf das nächste verfügbare Rechenzentrum durchgeführt, und der Authentifizierungsprozess wird nicht beeinträchtigt.

---

Ein globaler Katalogserver (GC) ist ein Domänencontroller, der Kopien aller Active Directory-Objekte in der Gesamtstruktur speichert. Er speichert eine vollständige Kopie aller Objekte im Verzeichnis Ihrer Domäne und eine Teilkopie aller Objekte aller anderen Gesamtstrukturdomänen. Mit dem globalen Katalog können Benutzer und Anwendungen Objekte in einer beliebigen Domäne der aktuellen Gesamtstruktur suchen, wobei nach Attributen gesucht wird, die in der GC enthalten sind. Der globale Katalog enthält einen grundlegenden (aber unvollständigen) Satz von Attributen für jedes Gesamtstrukturobjekt in jede Domäne (Partial Attribute Set, PAT).

Der GC empfängt Daten von allen Domänenverzeichnispartitionen in der Gesamtstruktur und wird mit dem standardmäßigen AD-Replikationsdienst kopiert.

---

Der ISE zur AD beitreten

Voraussetzungen für die Integration von Active Directory und ISE.

1. Vergewissern Sie sich, dass Sie über die Berechtigungen eines Super-Administrators oder Systemadministrators in der ISE verfügen.
2. Verwenden Sie die NTP-Servereinstellungen (Network Time Protocol), um die Zeit zwischen dem Cisco Server und Active Directory zu synchronisieren. Die maximal zulässige Zeitdifferenz zwischen ISE und AD beträgt 5 Minuten.
3. Der auf der ISE konfigurierte DNS muss SRV-Abfragen für DCs, GCs und KDCs mit oder ohne zusätzliche Standortinformationen beantworten.
4. Stellen Sie sicher, dass alle DNS-Server DNS-Abfragen für alle möglichen Active Directory-DNS-Domänen beantworten können.
5. AD muss über mindestens einen globalen Katalogserver verfügen, auf den Cisco zugreifen kann, damit die Domäne, der Sie Cisco beitreten möchten, verfügbar ist.

---

AD-Domäne beitreten

Die ISE wendet die Domänenerkennung an, um Informationen über die verbundene Domäne in drei Phasen zu erhalten:

1. Abfragen verbundener Domänen - Erkennt Domänen aus der Gesamtstruktur und Domänen, die der verbundenen Domäne extern vertraut sind.
2. Abfragen von Stammdomänen in der Gesamtstruktur - Erstellt Vertrauen mit der Gesamtstruktur.
3. Abfragen von Stammdomänen in vertrauenswürdigen Gesamtstrukturen - Erkennt Domänen aus den vertrauenswürdigen Gesamtstrukturen.

Darüber hinaus erkennt die Cisco ISE DNS-Domänennamen (UPN-Suffixe), alternative UPN-Suffixe und NTLM-Domänennamen.

---

Die ISE wendet eine DC-Erkennung an, um alle Informationen über die verfügbaren DCs und GCs abzurufen.

1. Der Join-Prozess beginnt mit den Anmeldeinformationen eines Super Admin auf AD, die in der Domäne selbst vorhanden sind. Wenn der Benutzername in einer anderen Domäne oder Subdomäne vorhanden ist, muss er in der UPN-Schreibweise (username@domain) angegeben werden.
2. Die ISE sendet eine DNS-Abfrage für alle DCs-, GCs- und KDCs-Datensätze. Wenn die DNS-Antwort keine Antwort erhält, schlägt die Integration mit einem DNS-bezogenen Fehler fehl.
3. Die ISE verwendet den CLDAP-Ping, um alle DCs und GCs über die gesendeten CLDAP-Anfragen an die DCs zu erkennen, die ihren Prioritäten im SRV-Datensatz entsprechen. Die erste Antwort des Gleichstroms wird verwendet, und die ISE ist mit diesem Gleichstrom verbunden.

Ein zur Berechnung der DC-Priorität verwendeter Faktor ist die Zeit, die das Rechenzentrum benötigt, um auf CLDAP-Pings zu reagieren. Eine schnellere Antwort erhält eine höhere Priorität.

---

---

4. ISE empfängt TGT mit den Anmeldeinformationen "join user" (Benutzer beitreten).
5. Generieren Sie den ISE-Systemkontonamen mit MSRPC (SAM und SPN).
6. AD nach SPN durchsuchen, wenn das ISE-Computerkonto bereits vorhanden ist. Wenn der ISE-Rechner nicht vorhanden ist, erstellt die ISE einen neuen.
7. Öffnen Sie das Computerkonto, und legen Sie das Kennwort für das ISE-Computerkonto fest, und stellen Sie sicher, dass auf das ISE-Computerkonto zugegriffen werden kann.
8. Legen Sie die ISE-Systemkontoattribute (SPN, dnsHostname usw.) fest.
9. Empfangen von TGT mit ISE-Systemanmeldeinformationen mit KRB5 und Erkennen aller vertrauenswürdigen Domänen.
10. Wenn der Join abgeschlossen ist, aktualisiert der ISE-Knoten seine AD-Gruppen und die zugehörigen SIDS und startet automatisch den SID-Update-Prozess. Überprüfen Sie, ob dieser Vorgang auf der AD-Seite abgeschlossen werden kann.

---

AD-Domäne verlassen

Wenn die ISE ausscheidet, muss die AD Folgendes berücksichtigen:

1. Verwenden Sie einen vollständigen AD-Administrator-Benutzer, um den Verlassungsprozess durchzuführen. Dadurch wird überprüft, ob das ISE-Computerkonto aus der Active Directory-Datenbank entfernt wird.
2. Wenn das AD ohne Anmeldeinformationen zurückbleibt, wird das ISE-Konto nicht aus AD entfernt und muss manuell gelöscht werden.
3. Wenn Sie die ISE-Konfiguration über die CLI zurücksetzen oder die Konfiguration nach einer Sicherung oder einem Upgrade wiederherstellen, wird der Vorgang abgebrochen und die Verbindung zwischen dem ISE-Knoten und der Active Directory-Domäne getrennt. Bei Beitritt wird das ISE-Knotenkonto jedoch nicht aus der Active Directory-Domäne entfernt.
4. Es wird empfohlen, einen Vorgang zum Verlassen des Admin-Portals mit den Active Directory-Anmeldeinformationen auszuführen, da dabei auch das Node-Konto aus der Active Directory-Domäne entfernt wird. Dies wird auch empfohlen, wenn Sie den ISE-Hostnamen ändern.

---

RZ-Failover

Wenn das mit der ISE verbundene Rechenzentrum offline ist oder aus irgendeinem Grund nicht erreichbar ist, wird auf der ISE automatisch ein Failover ausgelöst. Der RZ-Failover kann durch folgende Umstände ausgelöst werden:

1. Der AD-Connector erkennt, dass der aktuell ausgewählte Domänencontroller während eines CLDAP-, LDAP-, RPC- oder Kerberos-Kommunikationsversuchs nicht verfügbar war. In diesen Fällen initiiert der AD-Anschluss die DC-Auswahl und führt einen Failover zum neu ausgewählten DC durch.
2. Das Rechenzentrum ist in Betrieb und reagiert auf CLDAP-Ping, der AD-Connector kann jedoch aus irgendeinem Grund nicht mit ihm kommunizieren (z. B. ist der RPC-Port blockiert, das Rechenzentrum befindet sich im Zustand "unterbrochene Replikation", das Rechenzentrum wurde nicht ordnungsgemäß außer Betrieb genommen).

---

In solchen Fällen initiiert der AD-Connector die DC-Auswahl mit einer gesperrten Liste ("böser" DC wird in der gesperrten Liste platziert) und versucht, mit dem ausgewählten DC zu kommunizieren. Der in der Liste gesperrter DCs ausgewählte DC wird nicht zwischengespeichert.

Der AD-Anschluss muss den Failover-Vorgang innerhalb einer angemessenen Zeitspanne abschließen (oder ausfallen, wenn dies nicht möglich ist). Aus diesem Grund versucht der AD-Connector während des Failovers eine begrenzte Anzahl von DCs. Die ISE blockiert AD-Domänencontroller, wenn ein nicht behebbarer Netzwerk- oder Serverfehler auftritt, um zu verhindern, dass die ISE einen beschädigten Domänencontroller verwendet. Der Domänencontroller wird der Liste der gesperrten Geräte nicht hinzugefügt, wenn er nicht auf CLDAP-Pings antwortet. Die ISE verringert die Priorität des Rechenzentrums nur, wenn dieses nicht reagiert.

---

ISE-AD-Kommunikation über LDAP

ISE sucht mit einem der folgenden Suchformate nach einem Computer oder Benutzer in AD. Wenn die Suche nach einem Computer durchgeführt wurde, fügt die ISE "$" am Ende des Computernamens hinzu. Dies ist eine Liste von Identitätstypen, die verwendet wird, um einen Benutzer in AD zu identifizieren:

---

• SAM-Name: Benutzername oder Computername ohne Domänen-Markup. Dies ist der Anmeldename des Benutzers in AD. Beispiel: Sajeda oder Sajeda$

• KN Dies ist der Anzeigename des Benutzers in AD. Er darf nicht mit dem SAM identisch sein. Beispiel: sajeda Ahmed

• Benutzerprinzipalname (UPN): Dies ist eine Kombination aus dem SAM-Namen und dem Domänennamen (SAM_NAME@domian). Beispiel: sajeda@cisco.com oder sajeda$@cisco.com

• Alternative UPN: Hierbei handelt es sich um zusätzliche/alternative UPN-Suffixe, die im AD konfiguriert wurden, jedoch nicht um den Domänennamen. Diese Konfiguration wird global in AD hinzugefügt (nicht pro Benutzer konfiguriert) und muss kein echtes Domänennamen-Suffix sein.
  • Jedes AD kann mehrere UPN-Suffixe enthalten (@alt1.com,@alt2.com usw.). Beispiel: Haupt-UPN (sajeda@cisco.com), Alternative-UPN :sajeda@domain1, sajeda@domain2

• NetBIOS-Präfixname: Dies ist der Domänenname/Benutzername des Computernamens. Beispiel: CISCO\sajeda oder CISCO\machine$

• Host/Präfix mit nicht qualifiziertem Computer: Dies wird für die Computerauthentifizierung verwendet, wenn der Computername nur verwendet wird und es sich nur um den Host-/Computernamen handelt. Beispiel: Host/Maschine.

• Host/Präfix mit vollständig qualifiziertem System: Dies wird bei Verwendung des Computer-FQDN für die Authentifizierung des Computers verwendet, in der Regel bei der Zertifikatsauthentifizierung. Hierbei handelt es sich um den Host/FQDN des Systems. Beispiel: host/machine.cisco.com.

• SPN-Name: Der Name, mit dem ein Client eine Instanz eines Dienstes eindeutig identifiziert (z. B. HTTP, LDAP, SSH), die nur für Computer verwendet wird.

---

Benutzerauthentifizierung gegen AD-Fluss:

1. Identität auflösen und Identitätstyp ermitteln - SAM, UPN, SPN. Wenn ISE die Identität nur als Benutzernamen empfängt, sucht es in AD nach einem zugeordneten SAM-Konto. Wenn die ISE die Identität als username@domain erhält, sucht sie in AD nach einer entsprechenden UPN oder E-Mail. In beiden Szenarien verwendet die ISE zusätzliche Filter für den Computer oder einen Benutzernamen. 
2. Suchen Sie die Domäne oder Gesamtstruktur (abhängig vom Identitätstyp).
3. Behalten Sie Informationen zu allen verbundenen Konten (JP, DN, UPN, Domain) bei.
4. Wenn kein verbundenes Konto gefunden wird, sind die Antworten von AD mit dem Benutzer unbekannt.
5. Führen Sie eine MS-RPC- (oder Kerberos-) Authentifizierung für jedes zugeordnete Konto durch.
6. Wenn nur ein einziges Konto mit der eingegebenen Identität und dem eingegebenen Kennwort übereinstimmt, ist die Authentifizierung erfolgreich.
7. Wenn mehrere Konten mit der eingehenden Identität übereinstimmen, verwendet die ISE das Kennwort, um die Mehrdeutigkeit zu beheben, und das Konto mit dem zugehörigen Kennwort wird authentifiziert, während die anderen Konten den falschen Kennwortzähler um 1 erhöhen.
8. Wenn kein Konto mit der eingehenden Identität und dem Kennwort übereinstimmt, antwortet AD mit falschem Kennwort.

---

ISE-Suchfilter

Filter werden verwendet, um eine Einheit zu identifizieren, die mit AD kommunizieren soll. Die ISE sucht immer nach einer Entität in der Gruppe "Benutzer und Computer". Beispiele für Suchfilter:

1. SAM-Suche: Wenn die ISE eine Identität als Benutzernamen nur ohne Domänen-Markup empfängt, behandelt die ISE den Benutzernamen als SAM und sucht in AD nach allen Computerbenutzern oder Computern, die die Identität als SAM-Namen haben.
2. Wenn der SAM-Name nicht eindeutig ist, verwendet die ISE das Kennwort zur Unterscheidung zwischen Benutzern, und die ISE ist für die Verwendung eines kennwortlosen Protokolls wie EAP-TLS konfiguriert.
3. Es gibt keine anderen Kriterien, um den richtigen Benutzer zu finden. Daher schlägt die ISE bei der Authentifizierung mit dem Fehler "Ambiguous Identity" (Uneindeutige Identität) fehl. Wenn das Benutzerzertifikat jedoch in Active Directory vorhanden ist, verwendet die Cisco ISE einen Binärvergleich, um die Identität aufzulösen.

---

---

2. UPN- oder MAIL-Suche: Wenn die ISE eine Identität als username@domain erhält, durchsucht die ISE den globalen Gesamtkatalog nach einer Übereinstimmung mit der UPN-Identität oder der Mail-Identität "identity=matching UPN or email". Wenn eine eindeutige Übereinstimmung besteht, fährt die Cisco ISE mit dem AAA-Fluss fort. Wenn mehrere Verbindungspunkte mit demselben UPN und einem Kennwort oder mit demselben UPN und derselben Mail vorhanden sind, schlägt die Authentifizierung der Cisco ISE mit dem Fehler "Ambiguous Identity" (Uneindeutige Identität) fehl.

---

---

3. NetBIOS-Suche: Wenn die ISE eine Identität mit einem NetBIOS-Domänenpräfix erhält (z. B. CISCO\sajedah), durchsucht die ISE die Gesamtstrukturen nach der NetBIOS-Domäne. Sobald es gefunden wurde, sucht es nach dem angegebenen SAM-Namen (z. B. sajeda).

---

---

4. Suche nach Systembasis: Wenn ISE eine Computerauthentifizierung mit einer Host-/Präfix-Identität empfängt, durchsucht ISE die Gesamtstruktur nach einem übereinstimmenden servicePrincipalName-Attribut. Wenn ein vollqualifiziertes Domänensuffix in der Identität angegeben wurde, z. B. host/machine.domain.com. Die Cisco ISE durchsucht die Gesamtstruktur, in der die Domäne vorhanden ist. Wenn die Identität die Form eines Hosts oder Computers hat, durchsucht die Cisco ISE alle Gesamtstrukturen nach dem Namen des Dienstprinzips. Bei mehreren Übereinstimmungen schlägt die Cisco ISE bei der Authentifizierung mit dem Fehler "Ambiguous Identity" (mehrdeutige Identität) fehl.

---

Anmerkung: Dieselben Filter sind in den Dateien ISE ad-agent.log zu finden.

Anmerkung: ISE 2.2 Patch 4, 2.3 Patch, 1 und zuvor identifizierte Benutzer mit den Attributen SAM, CN oder beiden. Für die Cisco ISE, Version 2.2, Patch 5 und höher, und Version 2.3, Patch 2 und höher, wird nur das Attribut "sAMAccountName" als Standardattribut verwendet.

---

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
3.0	04-Aug-2026	Aktualisierte Einführung, Titel, Rechtschreibung, Grammatik, eingefügte horizontale Linien für separate Abschnitte/Lesbarkeit, aktualisierter Alternativtext.
2.0	03-Aug-2022	Grammatik, Struktur, maschinelle Übersetzung, Stil, Format
1.0	06-Feb-2020	Erstveröffentlichung