域服务篇 04. 组 ❀ Windows Server 2016

        【简介】如果能够使用组（group）来管理用户帐户，则必定能够减轻许多网络管理负担。对某个组设置权限后，此组内的所有用户都会自动拥有此权限。

---

  新建组

        可以通过 Active Directory 用户和计算机新建组。

        ① 点击开始按钮，弹出菜单里选择【Windows 管理中心】-【Active Directory 用户和计算机】。

        ② 在 Active Directory 用户与计算机窗口，鼠标右键点击组织单位，弹出菜单选择【新建】-【组】。

        ③ 输入组名，点击【确定】。

        ④ 在组织单位技术部下就建了一个同样叫技术部的组了。

        ⑤ 和组织单位不同的是，组织单位只是当前这层不允许同名，而组是在整个域中都不能同名。

        ⑥ 解决办法也很简间，这里在组名里加上地区的拼音简称，这样就可以区分开来了。  

  组与组织单位的区别

        组织单位除了方便展示企业中各个部门组织的层次结构外，还可以分散管理任务，即管理控制权委派给其它用户来减少系统管理员的工作量，使之能够集中于整个网络系统的规划和维护。委派管理对于实现集中模式非常重要。

        组织单位常见的管理任务有：

        1、创建和删除指定类型对象：在一个组织单位中，指定的类型可以包括用户、组、计算机、打印机。例如，当一个新员工到某个部门工作，你要给这个员工在适当的组织单位创建一个用户帐号。

        2、更改指定类型对象上的某种属性：也许你执行的最常见的管理任务是更新某类对象的属性，包括重设密码和改变用户的信息，比如更改家庭住址和电话号码。

        3、改变容器的部分属生：例如，当新的软件补丁包出现时，管理员可以在某个组织单位上创建组策略来给这个部门的用户部署这个软件。

        组是用户和计算机帐户、联系人的集合，属于特定组的用户和计算机称为组成员。我们针对某个组进行授权时，该授权对组中的所有成员都有效。例如对某个组授予访问共享文件夹和打印机的权限，那么组中的成员都将拥用此权限。因此可以使用组简化管理，高效地管理域用户对域资源的访问。用户可以同时属于多个组，当属于多个组时，也就有了这多个组的权限。

  组的类别

        在新建组的时候，我们会看到有不同的组。

        ① 域内的组类型分为两种，并且它们之间可以相互转换。

        安全组（security group）：它可以被用来分配权限与权利，例如你可以指定安全组对文件具备读取的权限。它也可以用在与安全无关的工作上，例如可以给安全组发送电子邮件。

        通信组（distribution group）：它被用在与安全（权限与权利设置等）无关的工作上，例如你可以给通信组发送电子邮件，但是无法为通信组分配权限与权利。

        ② 从组的使用范围来看，域内的组分为三种。

        本地域组：它主要用来分配其所属域内的访问权限，以便可以访问该域内的资源。

        其成员可以包含任何一个域内的用户、全局组、通用组；也可以包含相同域内的本地域组；但无法包含其它域内的本地域组。

        本地域组只能够访问该域内的资源，无法访问其它不同域内的资源；换句话说当你在设置权限时，只可以设置相同域内本地域组的权限，无法设置其它不同域内的域本地组的权限。

        全局组：它主要用来组织用户，也就是你可以将多个即将被赋予相同权限（权利）的用户帐户，加入到同一个全局组内。

        全局群组内的成员，只可以包含相同域内的用户与全局组。

        全局组可以访问任何一个域内的资源，也就是说你可以在任何一个域内设置全局组的权限（这个全局组可以位于任何一个域内）以例让此全局组具备权限来访问该域内的资源。

        通用组：它可以在所有域内被分配访问权限，以便访问所有域内的资源。

        通用组具备万用领域的特性，其成员可以包含林中任何一个域内的用户、全局组、通用组。但是它无法包含任何一个域内的本地域组。

        通用组可以访问任何一个域内的资源，也就是说你可以在任何一个域内来设置通用组的权限（这个通用组可以位于任何一个域内），以便让此通用组具备权限来访问该域内的资源。

  AD DS 内置的组

        AD DS有许多内置组，它们分别隶属于本地域组、全局组、通用组与特殊组。

        ① 在 Builtin 容器内有一些常用的本地域组，这些本地域组本身已经被赋予了一些权利与权限，以便让其具备管理AD DS域的能力。只要将用户或组帐户加入到这些组内，这些帐户也会自动具备相同的权利与权限。

        ② 在 User 容器有内置全局群组，AD DS内置的全局组本身并没有任何的权利与权限，但是可以将其加入到具备权利和权限的域本地组，或另外直接分配权利和权限给此全局组。

        ③ 在 User 容器里也可以看有通用组。这类组只存于林根域。

老梅子   QQ：57389522

---