![Windows 2k8 R2-理解和记住组范围的技巧?](https://linux22.com/image/803783/Windows%202k8%20R2-%E7%90%86%E8%A7%A3%E5%92%8C%E8%AE%B0%E4%BD%8F%E7%BB%84%E8%8C%83%E5%9B%B4%E7%9A%84%E6%8A%80%E5%B7%A7%EF%BC%9F.png)
我正在研究 Active Directory 组,对这些组实现的范围有很多困惑。我想知道是否有任何提示、表格或图片可以概述所有这些范围的概念?
我正在阅读 MCTS 自定进度配置 Windows Server 2008 Active Directory 培训套件,我认为他们在书中给出的表格不正确。所以我被这些概念难住了。我已经知道组类型和组范围的基本用途,但我真的想全面了解这些概念,为考试做准备。
答案1
希望以下内容能有所帮助。这些都不是一成不变的。大多数人并没有真正遵守正确嵌套的“规则”,甚至不在乎。例如,理论上你应该将全局组嵌套在域本地组中,然后应用权限,但很多人(尤其是单个域的人)只会创建一个Security Group - Global
全局组并为其分配 NTFS 权限等。但想想如果你突然与第二个域建立了信任,然后想要将相同的权限应用于该域中的用户,会发生什么?现在你必须为域本地组或通用组向同一个 NTFS 文件夹添加一个新的 ACL,因为你将另一个域中的任何内容嵌套到了原始全局组中。
这张图实际上非常好,因此我将其作为参考:
域本地组
仅在域内可见,用于分配该域中对象的权限。您可以在域本地组内“嵌套”该域中的其他域本地组,以及添加来自同一林中另一个受信任域的用户/计算机和全局组。您还可以添加来自林中任何受信任域的通用组。
全局组
全局组(尽管名称如此)是仅包含其自身域中的对象的组。它们不能包含来自其他域的对象。实际上仅用于将对象分组在一起,例如将会计组用户分组到单个会计组中。然后该全局组嵌套在域本地组中,并且该本地组具有对其应用的安全权限。
通用组
这些可以包含来自林中任何受信任域的成员。通常,您会使用这些来嵌套来自不同域的全局组(例如,Accounting
在域 A 和域 B 中分别称为两个全局组),然后将通用组放入域本地组或另一个通用组中,并将权限应用于该组。
可供进一步阅读的技术资源:
http://technet.microsoft.com/en-us/library/cc755692%28v=ws.10%29.aspx
http://technet.microsoft.com/en-us/library/cc776499%28v=ws.10%29.aspx
http://itsupportsnippets.com/active-directory-group-scopes-types/