Berechtigungen für Benutzer und Gruppen verwalten

Berechtigungen sollten immer nur an Gruppen vergeben werden:

Somit können Benutzer, die spezielle Rechte brauchen einfach der Gruppen hinzugefügt, bzw. entfernt werden.

 

 

Domänenlokale Gruppen

…können zwar globale Gruppen aus der kompletten Gesamtstruktur aufneh­men, aber selbst nicht in anderen Domänen verwendet werden.

Globale Gruppen

…können nur Mitglieder aus der eigenen Domäne aufnehmen, haben aber dafür die Möglichkeit, dass sie überall in Active Directory verwendet werden können.

Universale Gruppen

…sind spezielle Gruppen und gehören zu derselben Kategorie wie globale Gruppen. Das bedeutet im Prinzip, dass Benutzerkonten in universale Gruppen zusammengefasst werden können. Der Unterschied zwischen globalen und universalen Gruppen ist, dass globale Gruppen nur Benutzerkonten oder andere globale Gruppen aufnehmen können, die zur eigenen Domäne gehören. In universale Gruppen können dagegen Benutzerkonten oder globale Gruppen aller Domänen aufgenommen werden, zu denen eine Vertrauensstellung besteht.

 

Microsoft empfiehlt folgende Berechtigungsstruktur

  • Domänenlokale Gruppe erhält Berechtigung auf Ordner und Freigabe
  • Globale Gruppe(n) wird in lokale Gruppe aufgenommen
  • Benutzerkonten der Anwender sind Mitglieder der einzelnen globalen Gruppen
  • Auf Verzeichnisse im Dateisystem sollten die Administratoren Vollzugriff erhalten.
  • Zusätzlich sollten Sie eine domänenlokale Gruppe anlegen, die Berechtigung auf der Verzeichnisebene und auf Freigabeebenen erhält. Die Vertriebsmitarbeiter in Dallas können durch dieses Konzept sowohl auf die Freigabe in Dallas als auch auf die Freigabe in München zugreifen. Wenn neue Mitarbeiter Zugriff erhalten müssen, kann dies durch Aufnahme in die entsprechende globale Gruppe recht schnell erledigt werden.