При диагностике проблем, связанных с полномочиями, порой обнаруживается, что причиной неполадок является вложенная глобальная группа безопасности. Вложение групп может служить источником многих неприятностей при работе с запрещающими правами. А если эти права определяются с помощью групповой политики, отследить причину возникновения проблемы бывает весьма затруднительно.
В таком случае нужны ли вообще вложенные глобальные группы безопасности в Active Directory? Диагностика, связанная с членством в группах, в большинстве предназначенных для этого инструментов построена довольно сложно. Многие утилиты позволяют выяснить, какие права действуют для той или иной учетной записи, однако далеко не всегда эти права действительно реализуются — из-за наличия вложенных групп.
Можно, конечно, вовсе запретить использование вложенных групп, но иногда это бывает необходимо.
Вот несколько правил по вложению групп:
1. Разрешать не больше одного уровня вложения групп.
2. Одна группа безопасности может быть членом только одной вышестоящей группы.
3. Нельзя создавать вложенные группы, если с помощью этих групп реализуются запрещающие права.
4. Вложенная глобальная группа безопасности не может обладать привилегиями высшего уровня.
Эти правила описывают базовые случаи вложения групп, но не являются исчерпывающими. Главное, что следует учитывать при создании вложенных групп, — делать это по минимуму, чтобы не усложнять диагностику и уменьшить риск случайного конфликта привилегий. К тому же, ограничение на использование вложенных групп позволяет предотвратить возникновение проблем, связанных с размером маркеров.
Наиболее актуально вложение групп в том случае, когда учетную запись компьютера нужно добавить в глобальную группу безопасности, не смешивая с учетными записями пользователей. Другой вариант использования вложенных групп — для разграничения при смешении встроенных групп с локальных компьютеров и учетных записей пользователей на уровне домена. Бывают и другие случаи, в которых вложение групп может действительно пригодиться.
Автор: Rick Vanover
В таком случае нужны ли вообще вложенные глобальные группы безопасности в Active Directory? Диагностика, связанная с членством в группах, в большинстве предназначенных для этого инструментов построена довольно сложно. Многие утилиты позволяют выяснить, какие права действуют для той или иной учетной записи, однако далеко не всегда эти права действительно реализуются — из-за наличия вложенных групп.
Можно, конечно, вовсе запретить использование вложенных групп, но иногда это бывает необходимо.
Вот несколько правил по вложению групп:
1. Разрешать не больше одного уровня вложения групп.
2. Одна группа безопасности может быть членом только одной вышестоящей группы.
3. Нельзя создавать вложенные группы, если с помощью этих групп реализуются запрещающие права.
4. Вложенная глобальная группа безопасности не может обладать привилегиями высшего уровня.
Эти правила описывают базовые случаи вложения групп, но не являются исчерпывающими. Главное, что следует учитывать при создании вложенных групп, — делать это по минимуму, чтобы не усложнять диагностику и уменьшить риск случайного конфликта привилегий. К тому же, ограничение на использование вложенных групп позволяет предотвратить возникновение проблем, связанных с размером маркеров.
Наиболее актуально вложение групп в том случае, когда учетную запись компьютера нужно добавить в глобальную группу безопасности, не смешивая с учетными записями пользователей. Другой вариант использования вложенных групп — для разграничения при смешении встроенных групп с локальных компьютеров и учетных записей пользователей на уровне домена. Бывают и другие случаи, в которых вложение групп может действительно пригодиться.
Автор: Rick Vanover
