3.7. Когда использовать локальные доменные, глобальные и универсальные группы

Локальные доменные, глобальные и универсальные группы содержат множество параметров для настройки групп в масштабе предприятия. В идеале следует использовать области действия групп для создания иерархий, схожих со структурой вашей организации и обязанностями групп пользователей.

Локальные доменные группы обладают наименьшей сферой влияния и хорошо подходят для управления доступом к таким ресурсам, как принтеры и общие папки.

Глобальные группы оптимальны для управления учетными записями пользователей и компьютеров в отдельном домене. Предоставляйте разрешения доступа к ресурсу, включая глобальную группу в состав локальной доменной группы.

Универсальные группы обладают самой широкой сферой влияния. Используйте их для централизации групп, определенных в нескольких доменах. Обычно для этого в универсальную группу добавляется глобальная. Тогда при изменении состава глобальных групп изменения не будут реплицироваться во все ГК, поскольку формально состав универсальных групп не меняется.

Примечание Если в вашей организации всего один домен, универсальные группы не нужны; стройте структуру на локальных доменных и глобальных группах. Если вы затем добавите в дерево или лес другой домен, вы легко расширите иерархию, чтобы она соответствовала новому состоянию сети.

Рассмотрим конкретный сценарий. Пусть ваша компания имеет представительства в Сиэтле, Чикаго и Нью-Йорке. У каждого офиса — собственный домен, являющийся частью одного дерева или леса: Seattle, Chicago и NY. Вы хотите упростить управление сетевыми ресурсами для администраторов из любого офиса и потому создаете идентичную структуру групп. В компании есть отделы маркетинга, ИТ и инженерный, но мы рассмотрим лишь структуру отдела маркетинга. Сотрудникам этого отдела в каждом представительстве нужен доступ к общему принтеру Мarkcting Printer и общей папке Marketing Data. Вы хотите, чтобы сотрудники могли совместно использовать и печатать документы. Скажем, Бобу из Сиэтла необходимо печатать документы для Ральфа в Нью - Норке, поэтому ему требуется доступ к квартальному отчету в общей папке в нью-йоркском офисе. Сконфигурируем группы для отделов маркетинга в трех офисах.

1.     Начнем с создания глобальных групп для каждой маркетинговой группы. В домене Seattle создадим группу GMarketing и добавим в нее сотрудников отдела маркетинга из Сиэтла. В домене Chicago создадим группу с тем же именем и добавим в нее сотрудников отдела маркетинга из Чикаго. В домене пу сделаем то же самое.

2.     В каждом представительстве создадим локальные доменные группы, предоставив им доступ к обидим принтерам и папкам. Назовем группу с доступом к принтеру LocalMarketingPrinter, а общую папку в домене Нью-Йорка — LocalMarketing Data. Домены Seattle, cliicago и пу должны обладать собственными локальными группами.

3.     Создадим универсальную группу UMarketing в домене каждого представительства. Добавим в нее группы seattle\GMarketing, chicago\GMarketmg и п у\GMarketing.

4.     Добавим UMarketing в группы Local Marketing Printer и LocalMarketingData в каждом представительстве. Теперь сотрудники отдела маркетинга смогут совместно использовать данные и принтеры.