Grupa, w której uprawnienia członków można przypisywać tylko w obrębie tej samej domeny, co domena nadrzędnej grupy lokalnej domeny, to grupa
A. lokalna komputera.
B. globalna.
C. lokalna domeny.
D. uniwersalna.
Pytanie z egzaminu CKE, październik 2013 (arkusz E.13-X-13.10).
Grupa lokalna domeny w Active Directory ma właśnie taki zakres działania: uprawnienia do zasobów można jej nadawać tylko w obrębie tej domeny, w której ta grupa została utworzona. To jest sedno odpowiedzi. Taka grupa świetnie nadaje się do przypisywania dostępu do konkretnych zasobów, np. folderu udostępnionego na serwerze plików, drukarki sieciowej albo aplikacji działającej w danej domenie. W praktyce często stosuje się zasadę AGDLP: konta użytkowników dodaje się do grup globalnych, grupy globalne do grup lokalnych domeny, a dopiero grupom lokalnym domeny nadaje się uprawnienia do zasobu. Moim zdaniem to jedna z ważniejszych dobrych praktyk administracji Windows Server, bo porządkuje uprawnienia i ułatwia późniejszy audyt. Przykład: użytkownicy z działu księgowości trafiają do grupy globalnej Księgowość, ta grupa jest członkiem grupy lokalnej domeny Dostęp_Faktury_RW, a ta ostatnia ma prawa odczytu i zapisu do udziału sieciowego. Dzięki temu administrator nie miesza bezpośrednio kont użytkowników z listami ACL, co jest czytelniejsze i bezpieczniejsze.
W tym pytaniu łatwo pomylić zakres członkostwa grupy z miejscem, w którym można jej przypisywać uprawnienia. Grupa globalna w Active Directory służy głównie do grupowania użytkowników, komputerów lub innych grup z tej samej domeny. Można jej potem używać do nadawania dostępu w różnych domenach, ale sama nie jest typową grupą przeznaczoną do bezpośredniego zabezpieczania lokalnych zasobów w konkretnej domenie. Dlatego skojarzenie słowa globalna z szerokimi uprawnieniami bywa mylące, choć trochę logiczne na pierwszy rzut oka. Grupa uniwersalna ma jeszcze szerszy zasięg w lesie Active Directory i sprawdza się przy większych strukturach wielodomenowych, ale nie odpowiada opisowi, bo nie ogranicza nadawania uprawnień tylko do jednej domeny w taki sposób jak grupa lokalna domeny. Trzeba też odróżnić grupę lokalną domeny od grupy lokalnej komputera. Ta druga istnieje tylko na konkretnym komputerze lub serwerze, na przykład w lokalnych użytkownikach i grupach systemu Windows, i nie jest obiektem domenowym używanym w całej domenie AD DS. Z mojego doświadczenia najczęstszy błąd polega na tym, że ktoś patrzy tylko na nazwę grupy, a nie na jej zakres: globalna, uniwersalna, lokalna domeny i lokalna komputera rozwiązują inne problemy administracyjne. W dobrym projekcie uprawnień najlepiej trzymać się modelu AGDLP albo AGUDLP, bo wtedy wiadomo, gdzie dodaje się użytkowników, a gdzie przypisuje prawa do zasobów.