AD 全局組,通用組,和域本地組的區(qū)別

1、AD全局組，通用組，和域本地組的區(qū)別(2010-04-26 08:18:37) 轉(zhuǎn)載全局組，通用組，和域本地組的區(qū)別（轉(zhuǎn)載）轉(zhuǎn) 載：首先我們需要明確一點：為什么我們需要建立組？答案很簡單：為了管理方便！其實計算機文件或者文件夾的控制權(quán)限是在屬 性的安全的選項卡中設(shè)定的，如下圖所示：1.jpg (37.21 KB)2007-12-27 16:282.jpg (24 KB)2007-12-27 16:28在上面的例子中，大連的公司財務(wù)部門出了一點問題，需要從北京、上海都找 10個人支援一下，大連公司的賬目資料都保存在一臺財務(wù)部專用服務(wù)器上。因為是公司機密信息，安全性比較高，所有資料僅僅允許財務(wù)部門

2、的人訪問。管理員為了方便管理，就為財務(wù)部門創(chuàng)建了一個域本地組dlf，在服務(wù)器上賦予dlf組權(quán)限（這種策略的簡寫就是A-DL-P，Account -domain local group - permission）。然后上海和北京的管理員分別為各自要幫助大連的10個人創(chuàng)建了一個全局組bjf和shf （這就是A-G，Account - global group），這樣然后大連的管理員僅僅添加bjf和shf到dlf即可完成權(quán)限的添加，而不需要關(guān)心到底是哪些人來支持財務(wù)部工作，然后一個一個添加了。而對于最終資源來說，它感覺自己沒有變化，因為自己始終都是允許被blf訪問，并沒有發(fā)生變化。這就是著名的A-G

3、-DL-P的使用。下面是示意圖：3.jpg (24.03 KB)2007-12-27 16:28不使用AGDLP策略的時候，我們也可以實現(xiàn)這個功能，就是直接把用戶帳戶 添加到財務(wù)部資源的訪問控制列表中，示意圖如下：4.jpg (26.94 KB)2007-12-27 16:28每條線代表一次操作，很顯然，當(dāng)出現(xiàn)變更的時候，不使用AGDLP的情況會 很糟糕，因為每次改動都會帶來目標(biāo)權(quán)限的重新設(shè)置。在上面的例子中，假設(shè)有很多域，有很多全局組，就推薦使用AGUDLP，在每個域中分別創(chuàng)建了全局組后，應(yīng)用通用組來管理全局組，最后把通用組加入到域本地組，進(jìn)行權(quán)限的設(shè)置。示意圖如下：5.jpg (24.55 KB)2007-12-27 16:28上面我們看到了全局組和域本地組帶來的管理上的方便性。你也許會問，通用組來自全林用于全林，看起來似乎比全局組更方便，可以完全取代全局組的，為什么不這么做？因為正是由于通用組內(nèi)部成員來自于全林，而且它信息是存儲在全局編錄中的，任何的變化都會導(dǎo)致全林復(fù)制，這個復(fù)制流量不可忽視。前面我們學(xué)過，在全局編錄中一般存儲一些不太經(jīng)常發(fā)生變化的信息。由于用戶帳戶是會經(jīng)常發(fā)生變化