Active Directory.pdf - Gattner

Verwalten von Gruppen 369
Die globale Gruppe Personalabteilung kann dann der domänenlokalen Gruppe hinzugefügt werden,
der bereits der Vollzugriff zugewiesen wurde, und die übrigen globalen Gruppen, für die nur Lesezugriff
erforderlich ist, können der domänenlokalen Gruppe mit dem Zugriff Lesen hinzugefügt werden.
Wenn Sie globale und domänenlokale Gruppen auf diese Weise verwenden, bedeutet dies, dass Sie
den Besitz der globalen und domänenlokalen Gruppen aufteilen. In großen Unternehmen ist es aus
sicherheitstechnischer Sicht von großer Bedeutung, zu gewährleisten, dass nur den geeigneten Benutzern
Zugriff auf freigegebene Informationen erteilt wird. Um dies sicherzustellen, muss jede Gruppe
über einen Besitzer verfügen, der auch als autorisierender Benutzer bezeichnet wird. Nur der Besitzer
einer Gruppe kann Änderungen an der Gruppenkonfiguration autorisieren. Bei dem Besitzer der globalen
Gruppe handelt es sich in der Regel um einen Abteilungsadministrator. Als Besitzer einer projektbasierten
globalen Gruppe wird unter Umständen der Projektmanager eingesetzt. Diese Besitzer
sind die einzigen Personen, die Änderungen an der Mitgliedsliste autorisieren können.
Bei dem Besitzer einer domänenlokalen Gruppe handelt es sich in der Regel um den Daten- oder Ressourcenbesitzer.
Wenn jede Ressource in Ihrem Unternehmen über einen Besitzer verfügt, der als einzige
Person Änderungen an den Berechtigungen für die freigegebene Ressource autorisieren kann,
wird diese Person ebenfalls Besitzer der domänenlokalen Gruppe, die mit dieser Ressource verbunden
ist. Bevor der domänenlokalen Gruppe eine beliebige globale oder universelle Gruppe hinzugefügt
werden kann, ist die Zustimmung des Besitzers zu dieser Änderung erforderlich.
Die Verwendung der beiden Gruppenebenen ist vor allem in Szenarien wichtig, in denen mehrere
Domänen vorhanden sind und Benutzer aus allen Domänen Zugriff auf eine freigegebenen Ressource
in einer Domäne benötigen. Wie in Abbildung 10.6 dargestellt, können Sie eine globale Gruppe in
jeder Domäne erstellen und anschließend diese globale Gruppe einer domänenlokalen Gruppe in der
Domäne hinzufügen, in der sich die Ressource befindet.
Globale Gruppe
Adatum.com
Globale Gruppe
Globale Gruppe
NA.Adatum.com
Freigegebener Freigegebener
Ordner Ordner
Asien.Adatum.com
Globale
Gruppe
Abbildung 10.6 Konfigurieren von Ressourcenzugriff mithilfe von globalen und domänenlokalen Gruppen mit
mehreren Domänen