Verwalten von Gruppen

Transkript

1 Verwalten von Gruppen

2 Was sind Gruppen? Was sind Gruppen? Mit Gruppen können Sie Berechtigungen für Ressourcen zuweisen, was die Verwaltung vereinfacht Gruppe Gruppen sind durch Bereich und Typ gekennzeichnet Durch den Gruppenbereich wird bestimmt, ob die Gruppe mehrere Domänen umfasst oder auf eine einzelne Domäne begrenzt ist Die vier Gruppenbereiche lauten: global, lokal in der Domäne, universell und lokal Gruppentyp Sicherheit Verteilung Beschreibung Zum Zuweisen von Benutzerrechten und Berechtigungen Verwendbar als -Verteilerliste Verwendbar nur mit -Anwendungen Nicht zum Zuweisen von Berechtigungen verwendbar

3 Was sind Domänenfunktionsebenen? Was sind Domänenfunktionsebenen? Windows 2000 gemischt (Standard) Windows 2000 pur Windows Server 2003 Unterstützte Domänencontroller Windows NT Server 4.0, Windows 2000, Windows Server 2003 Windows 2000, Windows Server 2003 Windows Server 2003 Unterstützte Gruppenbereiche Global, lokal in der Domäne Global, lokal in der Domäne, universell Global, lokal in der Domäne, universell *) Die Gruppe Windows 2003 Interim wurde aus Praxisgründen nicht aufgezählt, da hier die praxisfremde Konstelation von NUR NT4 und 2003 Domänencontrollern auftritt

4 Was sind globale Gruppen? Was sind globale Gruppen? Regeln für globale Gruppen Mitglieder Mitgliedschaft in folgenden Gruppen möglich Bereich Berechtigungen Gemischter Modus: Benutzerkonten aus derselben Domäne Einheitlicher Modus: Benutzerkonten und globale Gruppen aus derselben Domäne Gemischter Modus: Lokale Gruppen einer Domäne Einheitlicher Modus: Universelle Gruppen und lokale Gruppen einer Domäne in einer beliebigen Domäne sowie globale Gruppen in derselben Domäne Alle Domänen der Gesamtstruktur und vertrauende Domänen Alle Domänen der Gesamtstruktur und vertrauende Domänen

5 Was sind universelle Gruppen? Was sind universelle Gruppen? Mitglieder Mitgliedschaft in folgenden Gruppen möglich Bereich Berechtigungen Regeln für universelle Gruppen Gemischter Modus: Nicht anwendbar Einheitlicher Modus: Benutzerkonten, globale Gruppen und andere universelle Gruppen aus einer beliebigen Domäne der Gesamtstruktur Gemischter Modus: Nicht anwendbar Einheitlicher Modus: Lokale Gruppen einer Domäne und universelle Gruppen in einer beliebigen Domäne Sichtbar in allen Domänen der Gesamtstruktur sowie vertrauenden Domänen Alle Domänen einer Gesamtstruktur

6 Was sind lokale Gruppen einer Domäne? Was sind lokale Gruppen einer Domäne? Mitglieder Mitgliedschaft in folgenden Gruppen möglich Bereich Berechtigungen Regeln für lokale Gruppen einer Domäne Gemischter Modus: Benutzerkonten, Computerkonten und globale Gruppen aus einer beliebigen Domäne Einheitlicher Modus: Benutzerkonten, Computerkonten, globale Gruppen und universelle Gruppen aus einer beliebigen Domäne der Gesamtstruktur sowie lokale Gruppen einer Domäne aus derselben Domäne Gemischter Modus: Keine Einheitlicher Modus: Lokale Gruppen einer Domäne in derselben Domäne Sichtbar nur in der eigenen Domäne Domäne, der die lokale Gruppe einer Domäne angehört

7 Was sind lokale Gruppen? Was sind lokale Gruppen? Mitglieder Mitgliedschaft in folgenden Gruppen möglich Regeln für lokale Gruppen Lokale Benutzerkonten auf dem Computer, Domänenkonten und Domänengruppen Keine

8 Orte zum Erstellen von Gruppen Orte zum Erstellen von Gruppen o o Gruppen können in der Stammdomäne der Gesamtstruktur, in einer anderen Domäne der Gesamtstruktur und in Organisationseinheiten erstellt werden Wählen Sie die Domäne oder Organisationseinheit, in der Sie eine Gruppe erstellen, entsprechend den Verwaltungsanforderungen für die Gruppe aus o Beispiel: o In einem Verzeichnis mit mehreren Organisationseinheiten, zu denen jeweils ein anderer Administrator gehört, können Sie globale Gruppen in den Organisationseinheiten erstellen

9 Benennungsrichtlinien für Gruppen Benennungsrichtlinien für Gruppen Für Sicherheitsgruppen: Beziehen Sie den Bereich in die Benennungskonvention des Gruppennamens ein Der Name sollte den Besitz bezeichnen (Name der Abteilung oder desteams) Setzen Sie den Domänennamen oder Abkürzungen an den Anfang des Gruppennamens Verwenden Sie einen Deskriptor zum Bezeichnen der am weitesten reichenden Berechtigungen, über die eine Gruppe verfügen kann, z. B. DL IT London OU Admins Für Verteilergruppen: Verwenden Sie einen kurzen Aliasnamen Schließen Sie keinen Aliasnamen eines Benutzers als Teil in einen Anzeigenamen ein Eine Verteilergruppe darf maximal fünf gemeinsame Besitzer aufweisen

10 Die Eigenschaften Mitglieder und Mitglied von Die Eigenschaften Mitglieder und Mitglied von Gruppe oder Team Globale Gruppe Lokale Gruppe einer Domäne Mitglieder Tom, Jo, Kim Mitglied von n. zutr. Denver Admins Denver Admins Mitglieder Tom, Jo, Kim Mitglied von Denver OU Admins Denver OU Admins Mitglieder Denver Admins Vancouver Admins Mitglied von n. zutr. Sam, Scott, Amy Vancouver Admins Mitglieder Mitglied von n. zutr. Vancouver Admins Mitglieder Sam, Scott, Amy Mitglied von Denver OU Admins

11 Was ist eine Schachtelung von Gruppen? Was ist eine Schachtelung von Gruppen? o Dabei wird eine Gruppe als Mitglied zu einer anderen Gruppe hinzugefügt Gruppe Gruppe Gruppe Gruppe Gruppe Verschachteln Sie Gruppen, um die Gruppenverwaltung zu vereinheitlichen Die Verschachtelungsoptionen hängen davon ab, ob die Domänenfunktionsebene Ihrer Windows Server Domäne auf Windows 2000 pur oder Windows 2000 gemischt festgelegt ist

12 Gruppenstrategien Benutzerkonten Benutzerkonten Benutzerkonten Globale Gruppen Globale A A G A G U G L DL P P Universelle Lokale Gruppen A Gruppen Universelle Lokale Gruppen Berechtig- Gruppen einer Gruppen einer Domäne Domäne ungen Globale Lokale Globale Gruppen Lokale Gruppen einer Gruppen Domäne Lokale einer Domäne Gruppen Berechtigungen Gruppen Benutzerkonten Benutzerkonten A A A Berechtigungen P A G Globale Gruppen G G G U Lokale Gruppen L DL G U DL Gruppenstrategien: A G P A DL DL P L A G DL P DL P A G U DL P A G P L P

13 Was bedeutet das Ändern des Bereichs oder des Typs einer Gruppe? o Ändern des Gruppenbereichs o Global in universell o Lokale Domäne in universell o Universell in global o Universell in lokal in einer Domäne o Ändern des Gruppentyps o Sicherheit in Verteilung o Verteilung in Sicherheit

14 Gründe für das Zuweisen eines Managers zu einer Gruppe Manager Gruppe o o Dadurch haben Sie folgende Möglichkeiten: o Nachverfolgen der zuständigen Personen für Gruppen o Delegieren der Berechtigung zum Hinzufügen von Benutzern und zum Entfernen von Benutzern aus der Gruppe an den Manager der Gruppe Dient zum Verteilen der administrativen Verantwortung für das Hinzufügen von Benutzern zu Gruppen an Personen, die die Gruppe benötigen

15 Standardgruppen auf Mitgliedsservern Standardgruppen auf Mitgliedsservern

16 Standardgruppen in Active Directory Standardgruppen in Active Directory Leider 2 Speicherorte für eine Vielzahl von neuen Standardgruppen

17 Verwendung von Standardgruppen Verwendung von Standardgruppen o o Eigenschaften von Standardgruppen o Erstellung erfolgt bei der Installation des Betriebssystems oder beim Hinzufügen von Diensten, z. B. von Active Directory oder DHCP o Mehrere Benutzerrechte werden automatisch zugewiesen Verwendungszweck von Standardgruppen o Steuern des Zugriffs auf freigegebene Ressourcen o Zuweisen bestimmter domänenweiter administrativer Rollen

18 Sicherheitsaspekte bei Standardgruppen Sicherheitsaspekte bei Standardgruppen o o Platzieren Sie einen Benutzer nur dann in einer Standardgruppe, wenn Sie diesem Benutzer wirklich alle der Gruppe zugewiesenen Benutzerrechte und alle der Gruppe in Active Directory zugewiesenen Berechtigungen gewähren möchten. Andernfalls erstellen Sie eine neue Sicherheitsgruppe. Aus Sicherheitsgründen sollten Mitglieder von Standardgruppen den Befehl Ausführen als verwenden

19 Systemgruppen o Systemgruppen stellen zu verschiedenen Zeitpunkten verschiedene Benutzer dar o Sie können den Systemgruppen zwar Benutzerrechte und Berechtigungen gewähren, aber Sie können die Mitgliedschaften nicht ändern oder anzeigen o Gruppenbereiche gelten nicht für Systemgruppen o Benutzer werden bei der Anmeldung oder beim Zugriff auf bestimmte Ressourcen automatisch zu Systemgruppen zugewiesen

20 Empfohlene Vorgehensweisen für das Verwalten von Gruppen Erstellen Sie die Gruppen auf der Grundlage von Verwaltungsanforderungen Verwenden Sie lokale Gruppen auf einem Computer, der nicht Mitglied einer Domäne ist Fügen Sie die Benutzerkonten der Gruppe mit den restriktivsten Benutzerrechten hinzu Verwenden Sie nach Möglichkeit Standardgruppen, anstatt neue Gruppen zu erstellen Gewähren Sie einen Großteil der Benutzerrechte und Berechtigungen mithilfe die Gruppe Authentifizierte Benutzer und nicht mit der Gruppe Jeder Schränken Sie die Anzahl der Benutzer in der Gruppe Administratoren ein Allen Mitgliedern der Gruppen Administratoren, Hauptbenutzer, Druck- Operatoren und Sicherungs-Operatoren muss ein gleich hohes Maß an Vertrauen entgegengebracht werden