Windows Server 2012 活动目录项目式教程项目11 组的管理与AGUDLP原则.pptVIP

* 项目11 组的管理与AGUDLP原则 组账户在资源权限分配上有什么优势？ 本地域组、全局组、通用组的工作范围是？ 什么是AGUDLP原则？ AGUDLP原则如何应用？ 课程的内容 项目背景 EDU公司目前正在进行某工程的实施，该工程需要总公司工程部和分公司工程部协同，需要创建一共享目录，供总公司工程部和分公司工程部共享数据，公司决定在子域控制器GZ上临时创建共享目录。请通过权限分配使得总公司工程部和分公司工程部用户对共享目录有写入和删除权限。 相关知识 一、组的类型 通讯组： 其存储了用户的联系方式，用来实现批量用户账号的通信，例如群发邮件、视频会议等，它没有安全特性，不可用于授权。 安全组： 具备通讯组的全部功能，并可用于为用户和计算机分配权限，是windows servre 2012标准的安全主体。 相关知识 二、组的工作范围 域内 本地域组 完全信任关系的域内 全局组 林内 通用组 1、本地域组 作用范围：本域内 管理者：域管理员或域内的服务器管理员负责管理 成员范围：林中的所有用户/组账号 相关知识 2、全局组 作用范围：本域及信任域 管理者：域管理员 成员范围：本域中的所有用户/组账号 3、通用组 作用范围：林中的所有域 管理者：林管理员 成员范围：林中的所有用户/组账号 相关知识 AGUDLP A表示用户账号，G表示全局组，U表示通用组，DL表示域本地组，P表示资源权限。 A-G-DL-P策略是将用户账号添加到全局组中，将全局组添加到域本地组中，然后为域本地组分配资源权限。 问题？ 用户与资源访问权限的管理 公司有两个域，A和B，A中的5个财务人员和B中的3个财务人员都需要访问B域文件共享服务器的“FINA”文件夹 解决方案与问题？ 1、在FS服务器为这8个人直接在共享目录授权 解决方案与问题？ 2、在FS中创建本地组，并将8人加入到本地组，然后在共享目录授权给该本地组 解决方案与问题？ 2、在分别在AB域中创建全局组，并将各自用户加入到组中，然后再FS服务器所在的B域创建本地域组，然后FS管理员在共享目录授权给该本地域组 AGUDL结构 AGUDLP的实施 AGDLP应用 1、AGDLP原则（适用于单林环境） →①将用户加入到全局组G →②将全局组加入到本地组DL →③设置本地组的权限P →→通过本地组的授权（如服务器共享目录权限），实现全域用户的授权 AGUDLP应用 2、AGUDLP原则（适用于多林环境） →①将用户加入到全局组 →②将全局组加入到通用组（安全组） →③将通用组加入到本地组 →④设置本地组的权限 →→通过本地组的授权（如服务器共享目录权限），实现全林用户的授权 *