Active Directory.pdf - Gattner

368 Kapitel 10: Verwalten von Active Directory-Objekten
Als Erstes müssen Sie beim Erstellen eines Sicherheitsgruppenentwurfs festlegen, welche Gruppenbereiche
Sie verwenden möchten. In vielen Unternehmen werden umfassende Diskussionen zur Verwendung
der unterschiedlichen Gruppen geführt. Die Verwendung von Gruppen kann in Active
Directory sehr flexibel gehandhabt werden. In einer einzelnen Domäne können Benutzer beispielsweise
einer Gruppe mit einem beliebigen Gruppenbereich in der Domäne hinzugefügt werden, und
die Gruppen können zum Zuweisen von Berechtigungen für beliebige Ressourcen in der Domäne verwendet
werden. In einer Umgebung mit mehreren Domänen gibt es verschiedene Optionen für die
Verwendung universeller, globaler und domänenlokaler Gruppen.
In den meisten Unternehmen können die unterschiedlichen Gruppenbereiche am besten anhand der
folgenden Schritte implementiert werden:
1. Hinzufügen von Benutzern zu globalen oder universellen Gruppen
2. Hinzufügen der globalen oder universellen Gruppen zu domänenlokalen Gruppen
3. Zuweisen von Zugriffsberechtigungen auf Ressourcen mithilfe der domänenlokalen Gruppen
In einigen Unternehmen gibt es viel Widerstand gegen die Erstellung von sowohl einer domänenlokalen
als auch einer globalen oder universellen Gruppe, wenn eine Gruppe eigentlich ausreichend wäre.
Es sprechen jedoch wichtige Gründe für die Verwendung von zwei Gruppen.
Wenn Sie den Ansatz der Verwendung globaler oder universeller Gruppen und domänenlokaler Gruppen
verfolgen, können Sie globale oder universelle Gruppen erstellen, um Benutzer zusammenzufassen,
die gemeinsame Merkmale aufweisen. Meist werden globale oder universelle Gruppen basierend
auf einer Unternehmensabteilung oder einer funktionellen Grundlage erstellt. Alle Mitglieder der Vertriebsabteilung
weisen beispielsweise in der Regel untereinander mehr gleiche Merkmale auf als mit
Mitgliedern anderer Abteilungen. Diese Benutzer benötigen unter Umständen alle Zugriff auf die
gleichen Ressourcen, oder alle benötigen die gleiche Software. Die Gruppenmitgliedschaft wird oftmals
auch nach funktionellen Gesichtspunkten festgelegt. Es ist beispielsweise die gemeinsame Gruppierung
aller Manager erforderlich, unabhängig davon, in welcher Geschäftseinheit sie beschäftigt
sind. Alle Mitglieder eines Projektteams benötigen ggf. Zugriff auf die gleichen Projektressourcen.
Domänenlokale Gruppen werden in der Regel vorwiegend für die Zuweisung von Ressourcenberechtigungen
verwendet. In vielen Fällen sind die Berechtigungen eng mit den Geschäftseinheiten oder
-funktionen verbunden. Alle Mitglieder der Vertriebsabteilung benötigen beispielsweise Zugriff auf
den gleichen freigegebenen Ordner Vertrieb. In der Regel benötigen alle Projektteammitglieder
Zugriff auf die gleichen Projektinformationen. In anderen Fällen werden Zugriffsberechtigungen über
geschäftliche oder funktionelle Grenzen hinweg erteilt. Ein Unternehmen nutzt beispielsweise einen
freigegebenen Ordner, für den alle Personen im Unternehmen über den Zugriff Lesen verfügen. Oder
unterschiedliche Abteilungen und Projektteams benötigen unter Umständen Zugriff auf den gleichen
freigegebenen Ordner. Durch das Erstellen einer domänenlokalen Gruppe für eine bestimmte Ressource
können Sie den Zugriff auf diese Ressource einfach verwalten. Anschließend können Sie der
domänenlokalen Gruppe die geeigneten globalen oder universellen Gruppen hinzufügen.
Häufig sind für Benutzer unterschiedliche Zugriffsebenen auf freigegebene Ordner erforderlich. Ein
Unternehmen verfügt z.B. über den freigegebenen Ordner Personalabteilung, in dem die gesamten
Informationen zu Mitarbeiterrichtlinien gespeichert sind. Allen Benutzern kann Lesezugriff auf diesen
Ordner erteilt werden, es sollten jedoch nur die Mitarbeiter der Personalabteilung Änderungen an
den Informationen in diesem Ordner vornehmen können. In diesem Fall würden Sie zwei domänenlokale
Gruppen für den freigegebenen Ordner erstellen. Einer Gruppe wird der Zugriff Lesen erteilt,
während der anderen Gruppe der Vollzugriff oder der Zugriff Bearbeiten erteilt wird.