gadget
Goto Top

Global, DL, Lokale Gruppen

Hallo zusammen!

Wenn ich NTFS Berechtigungen bei einem Ordner setzen will, dann füge ich Accounts in die globale Gruppe.
Diese globale Gruppe füge ich einer domänenlokalen Gruppe hinzu.
An die domänenlokale Gruppe vergebe ich dann die Berechtigungen.

Soweit so gut. Wie ist das nun wenn ich z.B. einen Server habe und ich möchte in die lokale (nicht domänenlokale) Gruppe der Administratoren eine AD Gruppe hinzufügen. Muss diese AD Gruppe eine globale oder eine lokale sein?

Weil unser VOB verwendet dafür globale. Ich denke domänenlokale wären sinnvoller. Aber kann man eine DL Gruppe überhaupt in eine lokale Gruppe stecken? Wer hat Recht?


Vielen Dank
Gruß

Content-ID: 58138

Url: https://administrator.de/forum/global-dl-lokale-gruppen-58138.html

Ausgedruckt am: 24.12.2024 um 17:12 Uhr

gonzo514
gonzo514 03.05.2007 um 17:34:37 Uhr
Goto Top
Hallo!

Meiner Meinung können alle Gruppen (Domain Lokal, Global, Universal) in eine Lokale Gruppe verschachtelt werden.

Hierbei kommt es darauf an, für was du diese Gruppe sonst noch benötigst.

gOnzO
GaDgeT
GaDgeT 03.05.2007 um 19:49:27 Uhr
Goto Top
mmh, aber ergibt es sinn eine globale Gruppe in eine lokale zu stecken?

Man sollte doch immer die AGDLP Regel befolgen, oder?
D.h. eigentlich müsste dann doch eine DL Gruppe in die lokale?!
oder sehe ich das falsch?

lg
gonzo514
gonzo514 04.05.2007 um 05:59:57 Uhr
Goto Top
Bei der AGDLP Regel kommen die lokalen Gruppen ja nicht vor. Somit ist es völlig egal ob du eine Domain Lokale oder eine Globale Gruppe in die Lokale steckst. An deiner Stelle würde ich mal schauen, ob ich die Active Directory Gruppe, dann auch noch an anderen Stellen benötige und da darauf achten ob sie Global oder Domain Lokal sein muss/sollte.

Bei deinem Beispiel kannst du es auch anders sehen, z. B. könntes du es so sehen, dass die Permission auf deine Lokale Gruppe angewendet wird. Somit könnte bei der AGDLP Regel die DL deine lokale sein.

Ich habe nun auch in meinem Kursbuch von Microsoft nachgeschaut, dort werden folgende Strategien für das verwenden von Gruppen aufgelistet:

A G P
A DL P
A G DL P
A G U DL P
A G L P

Somit würde ich auch letzteres voschlagen, wobei auch die zweite Variante gehen würde.
thorschten
thorschten 05.10.2010 um 15:53:28 Uhr
Goto Top
Was nutzt Ihr eigentlich als Namen für die Domänenlokalen Zugriffsgruppen ? Ich überlege ob es ein Problem gibt wenn ein Freigabename mehrmals auf verschiedenen Servern existiert.

bsp: marketing_rwm = DL Gruppe für die Freigabe marketing mit den Rechten read,write modify

Sollte man evtl. auch den Servernamen einfließen lassen falls es auch eine marketingfreigabe in der gleichen domäne gibt ? Andererseits, servernamen wechseln auch. Wie macht Ihr das so ?
gonzo514
gonzo514 05.10.2010 um 16:23:33 Uhr
Goto Top
Hallo,

also den servernamen würde ich nicht einfließen lassen, dies aus dem grund, da du nicht weißt wie lange das share auf dem server liegt. ich würde eher dazu raten, verschiedene sharenamen zu verwenden, z.B. marketing_projekte_rwm, marketing_bilder_rwm, .......
thorschten
thorschten 05.10.2010 um 16:27:10 Uhr
Goto Top
Genau das Bedenken habe ich auch. Wenn das Share morgen auf nem anderen Fileserver liegt ist die Theorie dahin. Ich frage mich halt, wenn man eine Domäne hat und zwei Firmenstandorte, dann darf es halt nur eindeutige share-namen geben. Ob mich das evtl. mal einschränkt ?

Die frage wäre halt: Kann es vorkommen, dass an einem Standort mehrere Shares mit gleichen freigabenamen existieren könnten ?
Bsp. \\server1\public
\\server2\public


Andererseits, warum 2x gleicher Freigabename ? wenn man sofort zentrale Speicherorte nutzt und nicht wild im Netzwerk verteilt, sollte es evtl. nicht passieren.......
gonzo514
gonzo514 05.10.2010 um 16:33:14 Uhr
Goto Top
theoretisch ist es schon möglich auf zwei verschiedenen servern den gleichen sharenamen zu verwenden. die frage ist, ob nicht sowieso beide standorte auf das gleiche share zugreifen müssen, oder ob z.B. ein Marketing getrennt ist ...
thorschten
thorschten 05.10.2010 um 17:03:23 Uhr
Goto Top
Genau, wenn es ein Marketing gibt und zwei Standorte, dann würde es orga-mäßig wohl nur Sinn machen, dass es ein Marketing-share gibt.
Es ist also eher eine orga-frage als eine technische frage.

Ich werde dann einer Gruppe ein ISO-Länderkürzel vorsetzen um es wenigstens international zu trennen. National muß dann in einmalig vorkommenden shares gearbeitet werden. Macht langfristig dann doch wohl eher Sinn.

Also Dir fällt aus der Praxis auch kein Beispiel ein, wo in einem Unternehmen gleichnamigige Shares Sinn machen würden auf verschiedenen Servern ?
thorschten
thorschten 06.10.2010 um 08:46:54 Uhr
Goto Top
Mir fällt noch ein:

Ist Quatsch, dass ich von shares rede. Es dürfte dann in der Domäne nur einen Ordner mit gleichem Namen geben

Nochmal, da ich jetzt viel geschrieben habe:
_____________________________________________
Pfad:
\\server\freigabe\marketing
_____________________________________________
Berechtigungsgruppe für Marketing (domänenlokal):
marketing_rwm
und
marketing_r
_____________________________________________

Also das Bedenken wäre ob es so Sinn macht, weil wenn es dann nirgendwo noch einen Ordner Marketing geben soll zu dem eine Zugriffsgruppe gemacht werden muß, dann muß die Zugriffsgruppe ja wieder anders heißen.


Naja, schwer zu schreiben, ich denke vielleicht über mögliche Probleme nach, die etwas unrealistisch sind