Администрирование

Использование универсальных групп

Универсальные группы используются для предоставления доступа к ресурсам нескольких доменов. В отличие от локаль- ных доменных, универсальным группам можно назначать раз- решения на доступ к ресурсам любого домена Вашей сети.
Например, если ответственным лицам требуется доступ ко всем принтерам сети, можно создать универсальную группу и назна- чить ей разрешения на использование принтеров, подключен- ных к серверам печати всех доменов.
Их рекомендуется использовать, только если их состав по- стоянен. При изменении состава универсальной группы в дереве доменов может возникнуть ненужный трафик между контролле- рами доменов, поскольку такие изменения реплицируются на многие контроллеры доменов.
Рекомендуется, объединив глобальные группы нескольких доменов в универсальную группу, присвоить ей разрешения на доступ к ресурсу. Таким образом, универсальную группу можно использовать аналогично локальным группам домена для назна- чения разрешений доступа к ресурсам.

3. Внедрение групп

Разработав план, группы можно внедрять.
Область действия следует определять в соответствии с тем, как будет использоваться группа. Так, глобальные группы реко- мендуются для группировки учетных записей пользователей. Локальные доменные и универсальные группы удобны для назначения разрешений доступа к ресурсам. Глобальные группы следует включать в локальные доменные и универсальные группы.
Добавлять/удалять пользователей из универсальных групп не рекомендуется, поскольку это может сильно увеличить тра- фик репликации.
Перед созданием группы в домене необходимо убедиться в наличии у Вас соответствующих прав.
Члены групп Administrators и Account Operators данного домена по умолчанию обладают всеми необходимыми разреше- ниями. Администратор может предоставлять пользователям разрешения на создание групп в доменах или в ОП.
Имя группы должно быть интуитивным, особенно если администраторы других доменов будут искать его в Active Di- rectory.