Active Directory - Gruppen Konzept

[v-rtc 88]

Hallo zusammen,

 

ich bin gerade dabei mehr über Gruppenkonzepte in Erfahrung zu bringen und bin unteranderem auf diesen Artikel gestoßen: https://www.faq-o-matic.net/2011/03/07/windows-gruppen-richtig-nutzen/

Nun habe ich aber in unserer Testumgebung folgendes vorgefunden:

 

- Rollengruppen, GPO-Gruppen und alle anderen Gruppen sind universelle Gruppen

- In diesen Gruppen sind jedesmal nur Benutzer und keine Gruppen enthalten

- Somit sind viele Nutzer in vielen universellen Gruppen

 

Nun meine Frage, so ist das Konzept A-G-DL-P ignoriert worden, oder? Oder gibt es mittlerweile andere Konzepte und das Ganze ist etwas "veraltet"? Ich kann mich noch an den Satz erinnern, Gruppen in Gruppen ist nicht "gut", hatte ich damals aber nicht näher hinterfragt.

Vielen Dank vorab.

Grüße

[MurdocX 953]

Du kannst die universalen Gruppen wieder zu DL oder GG umwandeln. Das Prinzip gilt nicht als veraltet, sondern als effektiv Zeit und Arbeit zu sparen.

[v-rtc 88]

Das bedeutet aber auch, dass die vielen UG auch nicht optimal sind, oder?

Kenne die nur vom Exchange bisher.

[MurdocX 953]

Die Gruppen sind für Berechtigungen Domänenübergreifend. Also Vertrauensstellungen bei mehreren Domänen.

[NilsK 2.957]

Moin,

 

man behalte stets im Auge, dass AGDLP nur eine Empfehlung ist. Man muss es nicht so machen. Wenn man ein anderes, konsistentes Konzept hat, ist das auch OK.

 

Gruß, Nils

[v-rtc 88]

Jetzt muss ich trotzdem noch mal doof fragen, macht es wirklich Sinn mit Universalgruppen zu arbeiten? (Replikationsverkehr höher, Aufwand hoch)

Wenn ich das jetzt so anschaue, verfolgt dies nicht das "empfohlene" Konzept von Microsoft.

[NilsK 2.957]

Moin,

 

naja, kommt drauf an.

 

Dass der Replikationsverkehr höher sei, ist ein Ansatz aus frühen Windows-2000-Zeiten, als man den Global Catalog in Enterprise-Umgebungen noch nicht richtig einschätzen konnte. Aus heutiger Sicht ist es egal, ob eine Gruppe in der Domänenpartition oder im GC gespeichert wird, der Verkehr bleibt gleich.

 

Bleibt die Differenzierung der Gruppentypen und ihrer Eigenschaften, was dann aber eine Frage des eigenen Gesamtkonzepts ist.

 

Gruß, Nils

[MurdocX 953]

TechNet | Understanding Groups

https://technet.microsoft.com/en-us/library/dd861330(v=ws.11).aspx

 

Hier kannst du es nachlesen. Ich würde, wenn ich es nicht brauche, es auch nicht einsetzen.

[v-rtc 88]

Wie hast Du das umgesetzt @MurdocX?

[MurdocX 953]

Wir haben für unsere Berechtigungen domänenlokale Gruppen und für unsere Benutzer, soweit möglich, Funktionsgruppen ( globale Gruppen ). So kann auf der jeweiligen Gruppe die Berechtigung oder eben die berechtigten Benutzer ausgelesen werden.