理解Windows ActiveDirectory用户组

hao1nan

　　在Microsoft Active Directory中，AD组应该是属于比较难理解概念之一。事实上，AD中有多种不同的组，比如通讯组、安全组、全局组、通用组等。那么在AD中，对于组是如何定义和分类，各种组又适合什么样的场景下使用才是最安全最合适的呢？本文给出相关的描述，希望给感兴趣的朋友有所启迪！
　　一、组的分类：
　　1、根据网络环境可划分为：本机组和域组
　　2、根据能否分配权限可划分为通讯组和安全组
　　通讯组：通讯组没有SID，不能用于权限分配。通讯组作用是用来将许多对象组织在一起，从而集中寻址，以实现统一管理。通讯组在邮件中使用最为频繁。在Exchange中可以向某个通讯组发送邮件，从而实现该通讯组下所有用户都接收到同一份邮件。
　　安全组：安全组也可以用于电子邮件，但安全组有SID，它最主要功能是用于权限分配，从而实现权限集中化管理和分配。
　　二、安全组的细分
　　安全组故名思义，侧重于安全和权限的分配。那么根据可访问资源权限的大小，安全组又可以细化为：域本地组、全局组以及通用组。简单来说，域本地组只能在该组所属域中使用，全局组在整个AD林中使用，通用组也可以在整个AD林中使用。上述三个组详细的定义和区别如下：
　　1、域本地组：
　　权限范围：域本地组只能在创建该组的当前域中使用，只可以访问当前域中资源。
　　成员范围：成员可以来自任何域中用户或任何组
　　可引用范围：
　　存储范围：只在本地域中所有DC存储和复制
　　2、全局组：
　　权限范围：全局组可以在整个AD林中使用，可以访问整个AD林中的资源。
　　成员范围：成员只能来自创建该组的域中的用户和全局组
　　可引用范围：同域中的全局组、林中的通用组
　　存储范围：只在本地域中所有DC存储和复制
　　3、通用组：
　　权限范围：通用组可以在整个AD林中使用，可以访问整个AD林中的资源。
　　成员范围：所有域的用户、全局组和通用组
　　可引用范围：所有域中的全局组、通用组
　　存储范围：通用组存储在全局编录域控制器中，从而在整个林中复制。
　　三、用户组权限分配规则
　　1、权限针对用户组分配，尽量避免针对用户分配权限。
　　2、删除用户之前，强烈建议先只是禁用用户一段时间。经过一个月或两个月真的不需要该帐号后再彻底删除该对象
　　3、用户组权限分配遵循AGDLP原则

说明：A、G、DL、P策略就是先将用户账户（A）加入到全局组（G），再将全局组加入到本地域组（DL）内，然后设置本地域组的权限（P）。

应用：若A域的用户需要访问B域的资源，则A域管理员负责在A域创建全局组，将A域用户帐户加入到此组中。B域管理员负责在本域创建本地域组，设置此组权限，然后将A域创建的全局组加入到本地域组中。之后由A域管理员负责维护全局组成员，B域管理员负责维护本地域组权限。以实现管理上的分散。