52. Администрирование учетных записей групп.

Группы

Группа (group) — это набор учетных записей пользователей. Группы упрощают админист­рирование, позволяя назначать разрешения и права группе пользователей, а не каждой отдельной учетной записи. Пользователи могут быть членами нескольких групп.

Назначая разрешения, Вы предоставляете пользователям доступ к определенным ресурсам и определяете права доступа. Если, например, нескольким пользователям требует­ся считать один файл, добавьте их учетные записи в группу. Затем дайте группе разреше­ние на считывание файла. Права дают возможность выполнять системные задачи, напри­мер изменять системное время, архивировать или восстанавливать файлы, а также локаль­но регистрироваться в системе.

Кроме пользователей, в группу можно добавлять контакты, компьютеры и другие груп­пы. Добавляя компьютеры в группу, Вы можете упростить предоставление доступа сис­темной задаче одного компьютера к ресурсам другого.

Типы групп

Иногда группы создаются в целях защиты, например, для назначения разрешений. В других случаях создание групп не связано с соображениями безопасности, и они используют­ся, например, для отсылки сообщений электронной почты. Таким образом, в Windows Server два типа групп: безопасности и распространения. Тип группы определяет по­рядок ее использования. Группы обоих типов размещаются в хранилище Active Directory. что позволяет их применять в любом сегменте сети.

Группы безопасности

Группы безопасности используются для назначения разрешений и предоставления доступа к ресурсам. Программы поиска в хранилище Active Directory также могут использовать их, например, для одновременной отсылки сообщений электронной почты нескольким пользователям - так группа безопасности обладает всеми возможностями группы распространения.

Группы распространения

Приложения используют группы распространения в качестве списков пользователей для осуществления функций, не связанных с системой защиты. Группы распространения сле­дует применять лишь для выполнения операций, не связанных с безопасностью, напри­мер для одновременной отсылки сообщений электронной почты нескольким пользовате­лям. Назначать разрешения через группу распространения нельзя.

Группы распространения могут использоваться приложениями, пред­назначенными для работы со службой каталогов Active Directory. Например, Microsoft Exchange Server может обращаться к группам распространения как к спискам распространения для рассылки электронной почты.

При создании группы надо определить ее тип и область действия, которая позволяет по-разному использовать группы для назначения разрешений. Область действия определяет, в каких сегментах сети группу можно использовать. По области действия группы делятся на локальные группы домена, глобальные и универсальные.

Локальная группа домена

Чаще всего используется для назначения разрешений доступа к ресурсам. Ее характерис­тики:

• открытое членство — можно добавлять членов из любого домена;

• доступ к ресурсам одного домена — позволяет назначать разрешения доступа к ресурсам того же домена, где была создана группа.

Глобальная группа

Чаще всего применяется для организации пользователей с одинаковыми требованиями доступа к сети. Ее характеристики:

• ограниченное членство — можно добавлять членов лишь из того домена, где создана группа;

• доступ к ресурсам любого домена — позволяет назначать разрешения доступа к ресур­сам любого домена.

Универсальная группа

Чаще всего применяется для назначения разрешений Доступа к связанным ресурсам, на­ходящимся в нескольких доменах. Ее характеристики:

• открытое членство — можно добавлять участников из любого домена;

• доступ к ресурсам любого домена — позволяет назначать разрешения доступа к ресур­сам в любом домене;

• доступна лишь в доменах основного режима — в доменах смешанного режима эти груп­пы недоступны; полный набор возможностей доступен лишь в основном режиме; универсальные группы распространения доступны в смешанном режиме.

Участники групп

Обусловлены областью действия группы. Правила членства устанавливают, кого можно включить в группу. К членам групп относятся учетные записи пользователей и другие груп­пы.

Локальные доменные и глобальные группы можно преобразовать в универсальные: Для этого надо, чтобы хранилище Active Directory работало в основном режиме, локальные доменные/глобальные группы не содержали других участников из той же области дей­ствия. Например, глобальную группу, включающую другую глобальную группу, преобра­зовать в универсальную нельзя.

На группы распространения, работающие в смешанном режиме, распространяются те же правила членства, что и на группы защиты, работающие в основном режиме.