Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

8 Kapitel 1: Subjekte, Benutzer und andere Akteure
Ein Computer, der kein Domänencontroller ist, hat nur zwei Arten von Gruppen: integrierte
(engl. built-in) und lokale (engl. local), die der Administrator definiert hat. In Active Directory
finden Sie dagegen gleich sechs unterschiedliche Arten von Sicherheitsgruppen: integrierte
domänenlokale (engl. built-in domain local), globale (engl. global) und universelle
(engl. universal) Gruppen sowie benutzerdefinierte domänenlokale (engl. user-defined domain
local), globale und universelle Gruppen. Domänenlokale Gruppen können nur Berechtigungen
für Ressourcen in der Domäne zugewiesen bekommen, in der sie definiert sind.
Aber sie können Benutzer, universelle und globale Gruppen aus beliebigen vertrauenswürdigen
Domänen oder Gesamtstrukturen sowie domänenlokale Gruppen aus ihrer eigenen
Domäne enthalten.
Eine globale Gruppe kann nur Benutzer und globale Gruppen aus der Domäne enthalten,
in der sie definiert wurde. Aber ihr können Berechtigungen für Ressourcen in beliebigen
Domänen innerhalb der Gesamtstruktur, deren Mitglied die Domäne ist, oder innerhalb einer
beliebigen vertrauenden Gesamtstruktur zugewiesen werden.
Eine universelle Gruppe kann Benutzer und universelle oder globale Gruppen aus einer
beliebigen Domäne enthalten. Einer universellen Gruppe können Berechtigungen für Ressourcen
in einer beliebigen vertrauenden Domäne oder Gesamtstruktur zugewiesen werden.
Während in einem eigenständigen Server in der Standardeinstellung nur zwei Gruppen vorhanden
sind (Administratoren und Gäste), enthält eine Domäne eine relativ große Zahl von
Gruppen aller drei Typen. Abbildung 1.5 zeigt die Standardgruppen in einer Domäne. Alle
werden als Sicherheitsgruppen (engl. security group) bezeichnet, das bedeutet, dass ihnen
Berechtigungen zugewiesen werden können. Sicherheitsgruppen dürfen Sie nicht mit Verteilergruppen
(engl. distribution group) verwechseln, die von Microsoft Exchange Server eingesetzt
werden, um Benutzer zu Gruppen zusammenzufassen, damit Sie E-Mail an mehrere
Empfänger gleichzeitig senden können. Beide sind in Active Directory definiert.
Abbildung 1.5 Im Active Directory-Container Users sind standardmäßig zahlreiche Gruppen definiert