Администрирование

Правила членства в группах

Группа по обла- сти действия	В смешанном ре- жиме может включать	В основном режиме может включать
Локальная груп- па домена	Учетные записи пользователей и компьютеров, а также глобальные группы из любого домена	Учетные записи пользова- телей, компьютеров, гло- бальные и универсальные группы, входящие в любую локальную группу того же домена
Глобальная группа	Учетные записи пользователей из того же домена и учетные записи компьютеров	Учетные записи пользова- телей и компьютеров, а также глобальные группы из того же домена
Универсальная группа	В смешанном ре- жиме недоступна	Учетные записи пользова- телей и компьютеров, гло- бальные и универсальные группы из любого домена

Локальные доменные и глобальные группы можно преоб- разовать в универсальные. Для этого надо, чтобы хранилище Active Directory работало в основном режиме, локальные домен- ные/глобальные группы не содержали других участников из той же области действия. Например, глобальную группу, включаю- щую другую глобальную группу, преобразовать в универсаль- ную нельзя.

4. 
   Вложенность групп
   

Добавление одних групп в другие (вложенность трупп) позволяет на порядок уменьшить число операций по назначе-
нию разрешений. В основном режиме Windows Server допускает неограниченную вложенность групп.
Вложенность позволяет на порядок уменьшить число опе- раций по назначению разрешений. Однако при больших уровнях вложенности контроль разрешений усложняется. Наиболее эф- фективен первый уровень — он позволяет уменьшить число операций по назначению разрешений, одновременно упрощая контроль разрешений.
Кроме того, в целях контроля над назначением разрешений рекомендуется отдельно документировать состав групп. Допу- стим, администратор добавляет временных сотрудников в груп- пу, созданную для разработчиков некоторого проекта. Другой администратор, не зная о временных сотрудниках, добавляет группу проекта в группу, обладающую доступом к конфиденци- альной информации, и временные сотрудники получают к ней доступ, что неприемлемо.
Эффективная вложенность групп в многодоменной среде позволит снизить сетевой график между доменами и упростить администрирование дерева доменов. Для эффективного исполь- зования вложенности необходимо учитывать и режим работы дерева домена:

• 
  в смешанном режиме доступен лишь один вид вложен- ности – глобальные группы любого домена могут входить в ло- кальные группы доменов;
  
• 
  в смешанном режиме универсальные группы недоступны;
  
• 
  в основном режиме доступны все правила членства в группах, допускаются множественные уровни вложенности.
  

5. 
   Стратегии групп
   

Для эффективной работы надо определить порядок ис- пользования групп, а также типы групп, которые будут задей- ствованы в конкретных ситуациях.