Windows Server活动目录项目式项目11 组的管理与AGUDLP原则.ppt

项目11 组的管理与AGUDLP原则 网络工程系 黄君羡 组账户在资源权限分配上有什么优势？ 本地域组、全局组、通用组的工作范围是？ 什么是AGUDLP原则？ AGUDLP原则如何应用？ 课程的内容 项目背景 EDU公司目前正在进行某工程的实施，该工程需要总公司工程部和分公司工程部协同，需要创建一共享目录，供总公司工程部和分公司工程部共享数据，公司决定在子域控制器GZ上临时创建共享目录。请通过权限分配使得总公司工程部和分公司工程部用户对共享目录有写入和删除权限。 相关知识 一、组的类型 通讯组： 其存储了用户的联系方式，用来实现批量用户账号的通信，例如群发邮件、视频会议等，它没有安全特性，不可用于授权。 安全组： 具备通讯组的全部功能，并可用于为用户和计算机分配权限，是windows servre 2012标准的安全主体。 相关知识 二、组的工作范围 域内 本地域组 完全信任关系的域内 全局组 林内 通用组 1、本地域组 作用范围：本域内 管理者：域管理员或域内的服务器管理员负责管理 成员范围：林中的所有用户/组账号 相关知识 2、全局组 作用范围：本域及信任域 管理者：域管理员 成员范围：本域中的所有用户/组账号 3、通用组 作用范围：林中的所有域 管理者：林管理员 成员范围：林中的所有用户/组账号 相关知识 AGUDLP A表示用户账号，G表示全局组，U表示通用组，DL表示域本地组，P表示资源权限。 A-G-DL-P策略是将用户账号添加到全局组中，将全局组添加到域本地组中，然后为域本地组分配资源权限。 问题？ 用户与资源访问权限的管理 公司有两个域，A和B，A中的5个财务人员和B中的3个财务人员都需要访问B域文件共享服务器的“FINA”文件夹 解决方案与问题？ 1、在FS服务器为这8个人直接在共享目录授权 解决方案与问题？ 2、在FS中创建本地组，并将8人加入到本地组，然后在共享目录授权给该本地组 解决方案与问题？ 2、在分别在AB域中创建全局组，并将各自用户加入到组中，然后再FS服务器所在的B域创建本地域组，然后FS管理员在共享目录授权给该本地域组 AGUDL结构 AGUDLP的实施 AGDLP应用 1、AGDLP原则（适用于单林环境） →①将用户加入到全局组G →②将全局组加入到本地组DL →③设置本地组的权限P →→通过本地组的授权（如服务器共享目录权限），实现全域用户的授权 AGUDLP应用 2、AGUDLP原则（适用于多林环境） →①将用户加入到全局组 →②将全局组加入到通用组（安全组） →③将通用组加入到本地组 →④设置本地组的权限 →→通过本地组的授权（如服务器共享目录权限），实现全林用户的授权 项目分析 AGUDLP原则的应用。 项目实施 为本项目创建的共享目录需要对总公司工程部和分公司工程部用户配置写入和删除权限。 解决方案：AGUDLP步骤 （1）在总公司和分公司DC上创建相应工程部员工用户 （2）在总公司DC上创建全局组（project_edu_Gs），并将总公司工程部用户加入到该全局组；在分公司上创建全局组（project_gz_Gs），并将分公司工程部用户加入到该全局组 （3）在总公司DC(林根)上创建通用组（project_Us），并将总公司和分公司的工程全局组配置为成员 （4）在子公司GZDC上创建本地域组（projects_gz），并将通用组（project_Us）加入到本地域组 （5）创建共享目录（projects_share），配置本地域组权限为读写权限。 相关知识 一、组的类型 通讯组与安全组 二、组的工作范围 域内 本地域组 完全信任关系域内 全局组 林内 通用组 以上3种类型的组的成员可以是哪些？ 三、AGUDLP原则 AGDLP原则与应用 AGUDLP原则与应用 问题？ 1、通讯组和本地组的区别是什么？ 2、域的3种类型的组成员可以是哪些？ 3、使用AGUDLP原则有什么用？ 4、小型企业是否可以不用AGUDLP原则？ 5、 NTFS权限与共享权限冲突时结果如何？ 项目实训题 项目要求： 在子域上创建共享目录，并配置AGUDLP权限，用工程部用户登录主域客户机，并访问共享目录，新建一个文本文件；用其它用户登录主域客户机，并访问共享目录；显示子域控制器共享目录的权限（是否是AGUDLP原则授权），并截取实验结果。 * *