每人,每天,做好每件事
Everyone,Everyday,Everything

【域】组作用域/组类型

本地域、全局、通用三个有什么区别?

通用 来自全林用于全林
全局 来自本域用于全林
本地 来自全林用于本域
A.OU(组织单元)与Group(组)之对比 
首先我们要明确OU与Group是完全不同的概念,OU的主要是为进行管理上层次组织以及组策略的实施而设立的容器。简单的说,你不能为一个OU设置权限,但是,你可以为一个OU指定组策略,并且,你可以为一个OU将权力委派控制(在2000中是这么说的,但说成是“下放”也不为过)给特定的用户,组,或计算机(有点儿象人事部?),让他(她,它)们对OU内的成员有额外的权利。 
Group相比起OU,分类更为复杂一些。但你可以为组分配权力和权限,这一点OU是做不到的。微软对组的作用的解释是: 
1.管理用户和计算机对资源(网络共享、文件、目录、打印机,以及AD内对象的属性)的访问。 
2.建立 E-Mail 发送列表。 
3.过滤(或筛选)组策略 
总而言之,一句经典的话可以概括OU与Group的不同 
——————————————– 
OU定义的是谁可以管理我 
组定义的是我可以管理谁 
——————————————– 
B.组作用域和组类型 
1.组作用域 
组作用域分为三类:Domain Local Group(本地域),Global Group(全局),Universal(通用)。这三类之间的区别,又要分为两种域模式Native Mode(本地模式)和Mixed Mode(混合模式)的不同来区别对待。 
通用作用域 
—————– 
在本机模式域中,可将其成员作为来自任何域的帐户、来自任何域的全局组和来自任何域的通用组。 
在本机模式域中,不能创建有通用作用域的安全组。 
组可被放入其他组(当域处于本机模式时)并且在任何域中指派权限。 
不能转换为任何其他组作用域。 
全局作用域 
—————– 
在本机模式域中,可将其成员作为来自相同域的帐户和来自相同域的全局组。 
在本机模式域中,可将其成员作为来自相同域的帐户。 
组可被放入其他组并且在任何域中指派权限。 
只要它不是有全局作用域的任何其他组的成员,则可以转换为通用作用域。 
域本地作用域 
—————- 
在本机模式域中,可将其成员作为来自任何域的帐户、全局组和通用组,以及来自相同域的域本地组。 
在本机模式域中,可将其成员作为来自任何域的帐户和全局组。 
组可被放入其他域本地组并且仅在相同域中指派权限。 
只要它不把具有域本地作用域的其他组作为其成员,则可转换为通用作用域。 
微软的定义: 
http://www.microsoft.com/technet/prodtechnol/windowsserver2003/zh-chs/library/ServerHelp/79d93e46-ecab-4165-8001-7adc3c9f804e.mspx?mfr=true 
以上表从微软Windows 2000帮助中摘来,可以看到在本机模式下组的功能有多么强大,而在混合模式中,你仅仅可以做到以下:将全局组加入域内本地组。微软推荐这样的一套管理策略:A G DL P 也就是说: 
a.根据管理需要建立全局组(Global Group),同时将用户加入全局组内 
b.建立域本地组(Domain Local Group),将全局组加入不同的域本地组内 
c.将资源的权限给予域本地组。 
事实上,对处于混合模式的域来说,这样的管理出现以下的危机:你只能将本地(域控制器上)文件夹的权限以域本地组,而对成员服务器(没有装AD的服务器)而言,个人在AD中建立的域本地组是不可见的。这样的话,只能在DC上给域本地组指派权限,而无法在成员服务器上给域本地组指派权限,这样新建的域本地组岂不是根本没用。 
2.组类型 
Windows 2000 的域拥有两种组类型,安全组(Security Groups)与分布组(Distribution Groups)。然而,事实上操作系统用到的只有安全组,你可以给安全组赋权,默认情况下我们建立的也是安全组。 
你不能把对象的权限给予分布组,分布组主要是为某些应用程序准备的,而且此应用程序不能用做安全用途。当你需要给同一组的人发送邮件时可能会用到它,这时当然不会涉及到安全问题。 
Windows 2003中分布组叫做通讯组 
可以组合使用全局组、域本地组和通用组,以控制对网络资源的访问。全局组的基本用途是把用户组织到代表其相应域的管理容器之中。通用组可以用于包括来自各种域的全局组,进而在授予权限时进一步管理域层次结构。可以全局组添加到通用组中,然后给资源在物理上所在域本地组分配权限。使用这些方法创建组,管理员就可以在每个域的全局组中添加或删除用户,对整个企业资源的访问进行控制,而无需在多个位置进行更改。

赞(0) 打赏
未经允许不得转载:辣椒小鱼のBlog » 【域】组作用域/组类型
分享到: 更多 (0)

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

微信扫一扫打赏

×
订阅图标按钮