Który zakres grupy domyślnie jest ustawiany dla nowo utworzonej grupy w kontrolerze domeny systemu Windows Server?
A. Dystrybucyjny.
B. Uniwersalny.
C. Lokalny w domenie.
D. Globalny.
Pytanie z egzaminu CKE, styczeń 2016 (arkusz E.13-X-16.01).
Domyślnym zakresem nowo tworzonej grupy w kontrolerze domeny Windows Server, czyli w usługach Active Directory Domain Services, jest zakres globalny. Chodzi tu o grupę tworzoną np. w konsoli Active Directory Users and Computers. Zakres globalny oznacza, że do takiej grupy zwykle dodaje się konta użytkowników, komputerów albo inne grupy globalne z tej samej domeny, a potem tej grupy można używać do nadawania uprawnień w różnych domenach lasu, o ile relacje zaufania i struktura AD na to pozwalają. W praktyce jest to bardzo wygodne przy organizowaniu użytkowników według działów, ról albo lokalizacji, np. Pracownicy_Ksiegowosc albo Uczniowie_TI. Moim zdaniem to najczęściej spotykany punkt startowy, bo dobrze pasuje do zasady dobrych praktyk AGDLP: Accounts -> Global groups -> Domain Local groups -> Permissions. Czyli użytkowników wrzucamy do grup globalnych, grupy globalne do grup lokalnych w domenie, a dopiero tym ostatnim przypisujemy uprawnienia do zasobów, np. folderów współdzielonych. Warto też pamiętać, że zakres grupy to co innego niż typ grupy. Zakres może być globalny, uniwersalny albo lokalny w domenie, a typ może być zabezpieczeń albo dystrybucyjny. To rozróżnienie często ratuje przed bałaganem w uprawnieniach.
W tym pytaniu łatwo pomylić kilka pojęć z Active Directory, bo nazwy brzmią podobnie i w oknie tworzenia grupy są blisko siebie. Domyślnie ustawiany jest zakres globalny, a nie uniwersalny ani lokalny w domenie. Grupa uniwersalna ma szersze zastosowanie, szczególnie w środowiskach wielodomenowych, ale nie jest typowym domyślnym wyborem, ponieważ jej członkostwo jest przechowywane w katalogu globalnym. Z mojego doświadczenia wynika, że nadużywanie grup uniwersalnych potrafi zrobić niepotrzebny bałagan replikacyjny, zwłaszcza gdy administratorzy często zmieniają ich skład. Dlatego w klasycznym zarządzaniu uprawnieniami zaczyna się raczej od grup globalnych. Zakres lokalny w domenie też nie jest domyślny. Takie grupy świetnie nadają się do przypisywania dostępu do konkretnych zasobów w danej domenie, na przykład do udziału sieciowego lub drukarki, ale zwykle nie służą do bezpośredniego grupowania użytkowników według działów. Częsty błąd polega na myśleniu, że skoro zasób jest lokalny dla domeny, to każda nowa grupa powinna być lokalna w domenie. To nie tak działa w dobrym modelu administracyjnym. Odpowiedź dystrybucyjny jest jeszcze innym rodzajem pomyłki, bo dystrybucyjny nie oznacza zakresu grupy, tylko jej typ. Grupy dystrybucyjne służą głównie do list pocztowych, np. w Exchange, i nie są używane do nadawania uprawnień zabezpieczeń do plików czy zasobów systemowych. W Windows Server trzeba więc odróżniać zakres grupy od typu grupy, bo inaczej łatwo kliknąć coś, co wygląda podobnie, ale administracyjnie znaczy zupełnie co innego.