r09 2 (4)

[ Pobierz całość w formacie PDF ]
.Nazwa grupy lokalnej mo�e sk�ada� si� z najwy�ej 256 znaków, w tym wielkich ima�ych liter, z wyj�tkiem uko�nika \ (backslash).Trzeba ustali�, gdzie grupa powinna mie�ci� si� w hierarchii Active Directory.Umieszczenie grupy we w�a�ciwym po�o�eniu zmniejsza potrzeby delegowaniaadministracji oraz polepsza ogólny wygl�d �rodowiska.Przydzieli� prawa do Grup zabezpiecze� przed utworzeniem kont u�ytkowników czykomputerów.Nakre�lone przez Microsoft najlepsze wskazówki dotycz�ce tworzeniai korzystania z grup zabezpiecze� s� nast�puj�ce:W obr�bie domeny � grupa zabezpiecze� domeny powinna nale�e� do lokalnej grupyzabezpiecze�; prawa i uprawnienia nale�y przydziela� do lokalnej grupyzabezpiecze�.W domenie i pomi�dzy domenami � grupa globalna lub uniwersalna zabezpiecze�domeny powinna nale�e� do lokalnej grupy zabezpiecze�; prawa i uprawnienianale�y przydziela� do lokalnej grupy zabezpiecze� lub uniwersalnej grupyzabezpiecze�.UwagaPodczas gdy najwa�niejsze wskazówki Microsoftu wymagaj� przyznawania praw iuprawnie� do grup lokalnych, oraz stosowania grup globalnych i uniwersalnych dododawania u�ytkowników do grup lokalnych, warto zanotowa�, i� mo�na w istocieprzydziela� grupy globalne i uniwersalne bezpo�rednio do zasobów.Radzi�bymwybiera� rozwi�zanie sprawiaj�ce wra�enie najprostszego i naj�atwiejszego dozarz�dzania, zamiast kierowa� si� wskazówkami Microsoftu.Je�li domena zawiera hierarchi� OU, zagnie�d�anie grup zawieraj�cych kontau�ytkowników mo�e by� przydatne.Zagnie�d�anie pozwala na dodawanie jednejgrupy do drugiej; o grupach zagnie�d�onych mo�na pomy�le� jak o w�z�achhierarchii; w których ka�da indywidualna grupa b�dzie li�ciem.Rutynow� obs�ug�mo�na wtedy przeprowadza� dla poszczególnych grup-li�ci.Oszacowa�, czy potrzebne b�d� zmiany praw u�ytkowników dla grup nowych lubwbudowanych.Oddelegowa� administracj� grup do odpowiedniego mened�era lub kierownika grupy.Przydzieli� odpowiednich u�ytkowników do grup, wbudowanych i nowo utworzonych,na potrzeby dost�pu w obr�bie ca�ej domeny.Microsoft nakre�li� poni�szenajlepsze wskazówki dla grup zabezpiecze� i dystrybucyjnych:Grupy zabezpiecze� � nale�y przydziela� konta u�ytkowników domeny odpowiedniodo grupy globalnej domeny (dotyczy jedynie u�ytkowników w tej samej domenie cogrupa globalna) lub uniwersalnej grupy zabezpiecze�.Grupy dystrybucyjne � ogólna strategia tworzenia grup dystrybucyjnych mo�e by�jedn� z poni�szych:Przydziela� konta u�ytkowników domeny do globalnej grupy dystrybucyjnej domeny(dotyczy jedynie u�ytkowników w tej samej domenie co grupa globalna) lubuniwersalnej grupy dystrybucyjnej, lub:Przydziela� konta u�ytkowników domeny do globalnych grup zabezpiecze� domeny(tylko w obr�bie domeny) lub uniwersalnych grup zabezpiecze�.Wydajno��: Dlaczego nale�y u�ywa� grup dystrybucyjnych zamiast grupzabezpiecze�Gdy u�ytkownik loguje si� w sieci, Windows 2000 Server ustala, których grupu�ytkownik jest cz�onkiem, a nast�pnie tworzy �eton dost�pu przydzielanyu�ytkownikowi.�eton zabezpiecze� zawiera ID konta u�ytkownika oraz IDwszystkich grup zabezpiecze�, do których u�ytkownik nale�y.�eton ten jest wysy�any do komputera, do którego u�ytkownik korzysta z dost�pu,tak �e komputer docelowy mo�e okre�li�, czy u�ytkownik ma w nim jakiekolwiekprawa i uprawnienia, porównuj�c wszystkie ID zawarte w �etonie z uprawnieniamiwymienionymi dla wszelkich zasobów w komputerze.W ten sposób u�ytkownikuzyskuje dost�p do zasobów, je�li uprawnienia do nich zosta�y przyznane grupiezabezpiecze�, do której u�ytkownik nale�y.Gdy u�ytkownik jest cz�onkiem jakichkolwiek grup dystrybucyjnych, s� oneignorowane przy tworzeniu �etonu przez Windows 2000.Wobec tego, korzystanie zgrup dystrybucyjnych zamiast grup zabezpiecze�, je�li nie s� przyznawane za ichpomoc� �adne uprawnienia, poprawia wydajno�� procesu logowania i zmniejszaobj�to�� etonu � co równie� poprawia wydajno��, poniewa� �eton jest wysy�anydo komputerów, do których u�ytkownik ma dost�p.Strategie te dotycz� wszystkich typów struktur domen � pojedynczych, wieludomen nale��cych do drzewa, oraz wielu drzew domen w lesie.Planuj�c struktury grup nale�y pami�ta� o powa�nej ujemnej stronieimplementacji grup wybranej przez Microsoft: atrybut przynale�no�ci do grupyzosta� zaimplementowany jako wielowarto�ciowy atrybut Active Directory, zamiastzapisywania ka�dej przynale�no�ci do grupy w odr�bnym atrybucie.Wybór takiego projektu spowodowa�, i� przynale�no�� do grup jest wyj�tkiem odregu�y replikacji w Active Directory jedynie zmian dokonanych na poziomieposzczególnych atrybutów (w przeciwie�stwie do ca�ego obiekt, jak w przypadkuSAM).Jest to w istocie nader nieprzyjemny wybór, poniewa� oznacza, i� ka�dazmiana w przynale�no�ci do grupy jest zale�na od replikacji ca�ego zbiorucz�onków grupy, przez co pojedyncza zmiana (dodanie lub usuni�cie cz�onkagrupy) stanowi operacj� � pomy�ln� lub nie � na ca�ej grupie.Wykorzystanie atrybutu wielowarto�ciowego ma dwa bardzo niekorzystne skutkiuboczne dla projektu grup:Trzeba oszacowa�, ile osób b�dzie zarz�dza� ka�d� z zamierzonych grup i sk�d.Powód jest prosty: nale�y unika� jednoczesnej modyfikacji tej samej grupy przezkilka osób (to znaczy, przed zako�czeniem replikacji Active Directory do DC, wktórych grupa jest modyfikowana), poniewa� jedynie ostatni zapis zostaniewzi�ty pod uwag� (sposoby traktowania kolizji replikacji omówione s�szczegó�owo w rozdziale 12.).Trzeba oszacowa�, ilu cz�onków b�dzie zawiera� docelowo ka�da grupa.Poniewa�przy ka�dej zmianie replikowani s� wszyscy cz�onkowie grupy, w przypadkunadmiernego wzrostu rozmiarów grupy czeka nas intensywne obci��enie sieci przezreplikacje.Granica 5000 u�ytkowników nie obowi�zujeKr��y�o ju� mnóstwo pog�osek, i� Microsoft na�o�y� ograniczenia na ilo��u�ytkowników, mog�cych pomie�ci� si� w ka�dej grupie.Chcia�bym rozwia� tepog�oski: nie istnieje �adne ograniczenie do 5000 u�ytkowników lub jakiekolwiekinne dotycz�ce wszelkich grup [ Pobierz całość w formacie PDF ]

do ÂściÂągnięcia > pobieranie > ebook > pdf > download

Linki