Delegierte Administration unter AD

[byteshiddax 10]

Hi Leute.

 

Ich habe eine ADS spezifische Frage an euch:

 

Welche andere Möglichkeit(en) der Delegation außer über die OUs gibt’s denn eigentlich noch? Kann ich Gruppen von Usern die Berechtigung(en) über Gruppen von Computern erteilen, egal in welcher OU die sitzen? Sowas wie ein OU-übergreifendes Delegieren oder geht das dann nur mit WMI Filtern?

 

Im Prinzip suche ich nach einer praktikablen Alternative zur Delegation von Rechten über OUs.

 

Bin für jeden Hinweis dankbar.

[Operator 10]

Kann ich Gruppen von Usern die Berechtigung(en) über Gruppen von Computern erteilen, egal in welcher OU die sitzen?

 

Ja sicher... delegier einfach die ganze Domäne.

 

Aber im Ernst... wenn Du einen Teil des AD delegieren willst, musst Du entsprechende Strukturen schaffen, die Dir das auch passend erlaubt.

Eine (AD-)Struktur darf sich nicht zwingend nach dem Organigramm richten, sondern zu allererst an die funktionelle/administrative Struktur, d.h. daß Objekte eines Verwaltungskontextes im AD zusammenliegen und somit auch gezielt administrierbar sind.

 

Aber dazu gibt es genügend Material in Form von Tutorials oder Büchern, die Dir verschiedene Konzepte erläutern.

 

Sobald die Struktur steht, kannst Du dir entsprechende Administrationsgruppen schaffen, z.B. "ADS-Einkauf-Administratoren" denen Du dann die Rechte an der OU gibst.

Mitarbeiter, die dann dort Zugriff haben sollen fügst Du dann der Gruppe hinzu.

 

Mehr als einen kleinen Einblick kann ich hier leider auch nicht liefern, aber ich hoffe, daß es Dir ein wenig hilft.

 

Gruß

Andre

[byteshiddax 10]

Hi Andre.

 

Danke für deine Antwort.

Wir haben bereits unsere ADS erstellt und auch bereits produktiv gesetzt, jedoch suchen wir (interesse-halber) nach einer Alternative zur Delegation via OUs.

Ich dachte mir, ich erstelle eine Gruppe von Usern, die als Deleg_admin in Erscheinung treten und berechtige die dann auf eine Gruppe von Usern und Computern (Gruppe_User1, Gruppe_Comp), um damit eine OU-unabhänghige Delegation zu bewirken.

Geht es also, dass ich mit WMI Filtern oder sowas eine entsprechende Delegation erstellen kann?

 

Danke schon mal für alle weiteren Tipps.

[Operator 10]

Hi,

 

dann frage ich mich weiterhin WARUM?

Dafür sind OU's doch da... um eine vernünftige Delegation zu ermöglichen.

 

Wofür nutzt Du denn sonst deine Struktur?

 

Andre

[byteshiddax 10]

Mal ne andere Frage zum selben Thema:

Wie ist eigentlich die Delegation mit WMI Filtern zu realisieren?

Mache ich Gruppen von Usern, die ich dann auf Gruppen von Computer oder Usern berechtige? Wird dadurch die Gesamtperformance nicht verlangsamt?

[Operator 10]

Ich habe das Gefühl, Du willst Dir nicht helfen lassen.... wie soll denn eine Delegation via WMI ermöglicht werden...

 

Aber ich klink mich dann einfach mal aus.

[Gadget 37]

Und Doppelposting auch noch <g>

 

http://www.mcseboard.de/showthread.php?t=65402

 

sehen wir garnicht gern hier.

 

LG Gadget