Grupa w domenie Active Directory, do której można dodawać konta tylko z tej samej domeny, ale której można nadawać uprawnienia do zasobów w dowolnej domenie lasu, to grupa
A. globalna.
B. lokalna komputera.
C. lokalna domeny.
D. uniwersalna.
Odpowiedź globalna jest właściwa, bo dokładnie pasuje do zasad działania grup o zasięgu globalnym w Active Directory. Do takiej grupy można dodawać konta użytkowników, konta komputerów oraz inne grupy globalne, ale zasadniczo tylko z tej samej domeny. Natomiast uprawnienia tej grupie można nadawać do zasobów znajdujących się w dowolnej domenie lasu, czyli np. do folderu udostępnionego na serwerze plików w innej domenie tego samego lasu AD. To jest bardzo ważne przy projektowaniu uprawnień w większych firmach.
W praktyce często stosuje się zasadę AGDLP: Accounts -> Global groups -> Domain Local groups -> Permissions. Czyli konta użytkowników wkładamy do grup globalnych, np. Pracownicy_Ksiegowosc, potem tę grupę dodajemy do grupy lokalnej domeny przypisanej do konkretnego zasobu, np. DL_Folder_Faktury_RW, a dopiero tej grupie nadajemy uprawnienia NTFS lub uprawnienia do udziału sieciowego. Moim zdaniem to jest jeden z najważniejszych schematów do zapamiętania przy administracji Windows Server, bo utrzymuje porządek i ułatwia audyt. Dzięki temu nie nadaje się uprawnień pojedynczym użytkownikom, tylko zarządza dostępem przez grupy, co jest zgodne z dobrą praktyką minimalnych uprawnień i łatwiejsze w utrzymaniu.
W praktyce często stosuje się zasadę AGDLP: Accounts -> Global groups -> Domain Local groups -> Permissions. Czyli konta użytkowników wkładamy do grup globalnych, np. Pracownicy_Ksiegowosc, potem tę grupę dodajemy do grupy lokalnej domeny przypisanej do konkretnego zasobu, np. DL_Folder_Faktury_RW, a dopiero tej grupie nadajemy uprawnienia NTFS lub uprawnienia do udziału sieciowego. Moim zdaniem to jest jeden z najważniejszych schematów do zapamiętania przy administracji Windows Server, bo utrzymuje porządek i ułatwia audyt. Dzięki temu nie nadaje się uprawnień pojedynczym użytkownikom, tylko zarządza dostępem przez grupy, co jest zgodne z dobrą praktyką minimalnych uprawnień i łatwiejsze w utrzymaniu.
W tym pytaniu łatwo pomylić zakres członkostwa grupy z zakresem nadawania uprawnień, a to są dwie różne rzeczy w Active Directory. Grupa lokalna domeny działa prawie odwrotnie niż grupa globalna: może przyjmować członków z różnych domen, również z zaufanych domen, ale jej uprawnienia zwykle nadaje się tylko do zasobów w tej domenie, w której sama grupa została utworzona. Dlatego nie pasuje do opisu, gdzie członkowie mają pochodzić tylko z tej samej domeny, ale uprawnienia mogą dotyczyć zasobów w całym lesie.
Grupa lokalna komputera to jeszcze inny przypadek. Ona nie jest typową grupą domenową Active Directory, tylko istnieje lokalnie na konkretnej stacji roboczej albo serwerze. Takie grupy, jak lokalni Administratorzy czy Użytkownicy pulpitu zdalnego, służą do kontroli dostępu na jednym komputerze. Nie nadają się do logicznego zarządzania zasobami w wielu domenach lasu, bo ich zasięg jest ograniczony do danego systemu.
Grupa uniwersalna też może wyglądać kusząco, bo można jej nadawać uprawnienia w wielu domenach lasu. Różnica jest jednak taka, że do grupy uniwersalnej można dodawać członków z różnych domen w lesie, a nie tylko z jednej domeny. Właśnie ten szczegół przesądza sprawę. Z mojego doświadczenia wynika, że najczęstszy błąd polega na zapamiętaniu tylko fragmentu: można używać w całym lesie, bez sprawdzenia skąd mogą pochodzić członkowie. W administracji AD trzeba patrzeć jednocześnie na dwa parametry: kto może być członkiem grupy oraz gdzie tej grupie wolno przypisywać uprawnienia.
Grupa lokalna komputera to jeszcze inny przypadek. Ona nie jest typową grupą domenową Active Directory, tylko istnieje lokalnie na konkretnej stacji roboczej albo serwerze. Takie grupy, jak lokalni Administratorzy czy Użytkownicy pulpitu zdalnego, służą do kontroli dostępu na jednym komputerze. Nie nadają się do logicznego zarządzania zasobami w wielu domenach lasu, bo ich zasięg jest ograniczony do danego systemu.
Grupa uniwersalna też może wyglądać kusząco, bo można jej nadawać uprawnienia w wielu domenach lasu. Różnica jest jednak taka, że do grupy uniwersalnej można dodawać członków z różnych domen w lesie, a nie tylko z jednej domeny. Właśnie ten szczegół przesądza sprawę. Z mojego doświadczenia wynika, że najczęstszy błąd polega na zapamiętaniu tylko fragmentu: można używać w całym lesie, bez sprawdzenia skąd mogą pochodzić członkowie. W administracji AD trzeba patrzeć jednocześnie na dwa parametry: kto może być członkiem grupy oraz gdzie tej grupie wolno przypisywać uprawnienia.