Anwender bestimmter Sicherheitsgruppen per Mail informieren

[StefanWe 14]

Hallo,

 

wir haben immer mal wieder die Anforderung Anwender bestimmter Sicherheitsgruppen per Mail zu informieren. Beispiel für den VPN Zugang gibt es eine Domainlocal Group. 
nun sollen alle VPN Anwender informiert werden. Wie würdet ihr diese Aufgabe erledigen?

[NilsK 2.934]

Moin,

 

"das kommt drauf an", würde ich sagen. Man könnte - vorausgesetzt es ist Exchange - ...

• ... die betreffenden Gruppen in Universal Groups umwandeln und Mail-enablen
• ... die Gruppen so, wie sie sind, Mail-enablen (sofern das geht - ich meine, dass Exchange dann meckert, aber es trotzdem geht)
• ... die Mitglieder der Gruppe auslesen und als Empfänger einer Mail nehmen
• ... es noch anders lösen

Gruß, Nils

 

[StefanWe 14]

Ja Exchange. An das Wandeln in universelle Gruppe hab ich auch gedacht. Allerdings untergräbt dies dann das AGDLP Prinzip. 
 

neue Gruppe finde ich doof, da dann die Mitgliedschaft in beiden gepflegt werden muss. 

[NorbertFe 2.035]

Tja dann mußt du dir was skripten ;)

[NilsK 2.934]

Moin,

 

Es untergräbt ja das Prinzip nicht, wenn du an einigen Stellen mit einem triftigen Grund auf einen anderen Gruppentyp ausweichst. Wenn das der einzige Grund ist, das nicht zu tun, würde ich mich nicht aufhalten lassen.

 

Gruß, Nils

[NorbertFe 2.035]

Das würde ich zumindest bei der VPN Gruppe genauso sehen. Aber evtl. kennen wir ja die Vorgaben nicht.

[MurdocX 952]

vor 5 Stunden schrieb StefanWe:

Wie würdet ihr diese Aufgabe erledigen?

Vielleicht eine Kombination der vorgeschlagenen Möglichkeiten von Nils. Gruppe als Email-Gruppe aktivieren und dann die Ausführung über ein Skript (bspw. Powershell Send-MailMessage) lösen. Vermutlich wird das nicht die letzte Gruppe bleiben, wenn das mit einer gut funktioniert.

[Dukel 454]

Für mehrere Forests ist es ja gewollt, dass man Universelle statt Globale Gruppen nutzt. Die Nachteile der Universellen Gruppen sind heute auch vermutlich nicht mehr relevant.

[NilsK 2.934]

Moin,

 

vor einer Stunde schrieb Dukel:

Für mehrere Forests ist es ja gewollt, dass man Universelle statt Globale Gruppen nutzt.

nee, so dann auch nicht. Die haben schon unterschiedliche Aufgaben. Aber das würde hier jetzt zu weit führen.

 

Gruß, Nils

 

[Dukel 454]

Ich wollte nur damit sagen, dass es ausnahmen für Universelle statt lobale Gruppen gibt und man daher problemlos auch hier universelle Gruppen vorstellen kann.

[NilsK 2.934]

Moin,

 

ach so. Ja, okay, da stimme ich zu.

 

Die formalen technischen Bedenken zu Universal Groups stammen auch noch aus der ganz frühen Windows-2000-Zeit, als Microsoft einen Heidenrespekt vor seinem eigenen Produkt hatte und die Auswirkungen des Konstrukts "Global Catalog" noch nicht einschätzen konnte. Immerhin war das noch die Zeit von Modemverbindungen zwischen Unternehmensstandorten. Diese Bedenken haben sich schnell als unnötig erwiesen, weswegen dann ja auch in Windows 2003 einige Bremsen entfernt wurden. Damit kann man auch den Vorbehalt gegenüber Universal Groups weglassen. Die werden im Global Catalog gespeichert, aber "so what".

 

Gruß, Nils

 

bearbeitet 14. Juli 2020 von NilsK

[StefanWe 14]

Ok dann werden wir das wohl tun. Danke euch.