![将 Active Directory 添加到计算机本地组 - 选择哪个范围?](https://linux22.com/image/645784/%E5%B0%86%20Active%20Directory%20%E6%B7%BB%E5%8A%A0%E5%88%B0%E8%AE%A1%E7%AE%97%E6%9C%BA%E6%9C%AC%E5%9C%B0%E7%BB%84%20-%20%E9%80%89%E6%8B%A9%E5%93%AA%E4%B8%AA%E8%8C%83%E5%9B%B4%EF%BC%9F.png)
我知道在 AD 结构内进行组嵌套时要遵循“AGDLP”经验法则。但现在我想知道在将 Active Directory 组添加到“计算机”本地组时是否有任何最佳实践。
假设我有一台名为 HOST_A 的服务器,它正在运行远程桌面服务器角色。我想通过 AD 组管理有权访问它的一组人。
因此我将创建一个域本地组,假设为“P_RemoteDesktopUsers_Host_A”,并使其成为名为“远程桌面用户”的计算机本地组的成员。
或者我应该选择一个全球集团范围?如果是,原因何在?
答案1
我相信您使用哪个组范围的决定应该由以下因素定义:
哪些安全主体需要成为该组的成员?例如,如果您必须将来自林中其他域的安全主体包含在此安全组中,则必须将其设为域本地或通用组。如果您只需要将同一域的成员包含在此安全组中,则可以使用全局安全组。
您需要控制此组对哪些资源的访问?您可以将全局组放在林中任何域的 ACL 上,而域本地安全组只能放在其自己域内的 ACL 上。如果您需要以非常灵活的方式跨域,您可能需要求助于通用组。
全局组有利于将对全局目录的复制保持在最低限度......但现在这不是什么大问题,因为现在每个域控制器通常都是一个 GC,并且复制流量所消耗的带宽通常不再是让我们担心的事情。
http://technet.microsoft.com/en-us/library/cc755692(v=WS.10).aspx
答案2
我不确定微软是否曾针对这种特定情况发布过最佳实践。它与典型情况的不同之处在于,您最终不会将访问控制列表放入文件系统中。快速搜索他们的网站不会得到任何好的结果。
在单域场景中(最常见的情况),我会使用组策略受限组功能将域中的全局组嵌套到计算机上的“远程桌面用户”组中。我觉得这种方法足够“可见”,可以进行未来的审计。当然,我会将不同的受限组设置应用于不同“类别”的计算机。我认为域本地组没有必要将角色从资源中抽象出来,因为我认为组策略满足了这一要求。