Стоит ли создавать вложенные группы безопасности в Windows

Тема в разделе "Программное обеспечение", создана пользователем Mila, 2 ноя 2010.

  1. Mila
    Оффлайн

    Mila Команда форума Основатель

    Сообщения:
    4.970
    Симпатии:
    13.602
    При диагностике проблем, связанных с полномочиями, порой обнаруживается, что причиной неполадок является вложенная глобальная группа безопасности. Вложение групп может служить источником многих неприятностей при работе с запрещающими правами. А если эти права определяются с помощью групповой политики, отследить причину возникновения проблемы бывает весьма затруднительно.

    В таком случае нужны ли вообще вложенные глобальные группы безопасности в Active Directory? Диагностика, связанная с членством в группах, в большинстве предназначенных для этого инструментов построена довольно сложно. Многие утилиты позволяют выяснить, какие права действуют для той или иной учетной записи, однако далеко не всегда эти права действительно реализуются — из-за наличия вложенных групп.

    Можно, конечно, вовсе запретить использование вложенных групп, но иногда это бывает необходимо.

    Вот несколько правил по вложению групп:

    1. Разрешать не больше одного уровня вложения групп.
    2. Одна группа безопасности может быть членом только одной вышестоящей группы.
    3. Нельзя создавать вложенные группы, если с помощью этих групп реализуются запрещающие права.
    4. Вложенная глобальная группа безопасности не может обладать привилегиями высшего уровня.

    Эти правила описывают базовые случаи вложения групп, но не являются исчерпывающими. Главное, что следует учитывать при создании вложенных групп, — делать это по минимуму, чтобы не усложнять диагностику и уменьшить риск случайного конфликта привилегий. К тому же, ограничение на использование вложенных групп позволяет предотвратить возникновение проблем, связанных с размером маркеров.

    Наиболее актуально вложение групп в том случае, когда учетную запись компьютера нужно добавить в глобальную группу безопасности, не смешивая с учетными записями пользователей. Другой вариант использования вложенных групп — для разграничения при смешении встроенных групп с локальных компьютеров и учетных записей пользователей на уровне домена. Бывают и другие случаи, в которых вложение групп может действительно пригодиться.


    Автор: Rick Vanover



    источник
     
    2 пользователям это понравилось.

Поделиться этой страницей