关于ad分组的问题

lululime

通用组应用在什么地方，agudlp一般用在哪里

jeffluo

通用组是用于分配跨域权限的，可添加林内的所有成员到通用组中。

lululime

jeffluo 发表于 2017-7-24 16:46
通用组是用于分配跨域权限的，可添加林内的所有成员到通用组中。

这样林间的复制流量会不会很大呢，有没有实用案例呢

carlos2008

帮楼主顶一下

jeffluo

lululime 发表于 2017-7-25 09:13
这样林间的复制流量会不会很大呢，有没有实用案例呢

流量很少很少的


本地域组： 可以从任何域添加⽤户账户、通⽤组和全局组。域本地组不能嵌套于其他组中。它主要是⽤于授予位于本
域资源的访问权限。
全局组： 只能在创建该全局组的域上进⾏添加⽤户账户和全局组，但全局组可以嵌套在其他组中。可以将某个全局组
添加到同⼀个域上的另⼀个全局组中，或添加到其他域的通⽤组和域本地组中（注意这⾥不能把它加⼊到不同域的全
局组中，全局组只能在创建它的域中添加⽤户和组）。虽然可以利⽤全局组授予访问任何域上的资源的权限，但⼀般
不直接⽤它来进⾏权限管理。
通⽤组：通⽤组是集合了上⾯两种组的优点，即可以从任何域中添加⽤户和组，可以嵌套于其他域组中。⽐如： 有两
个域，A和B，A中的5个财务⼈员和B中的3个财务⼈员都需要访问B中的“FINA”⽂件夹。这时，可以在B中建⼀个
DL(域本地组)，因为DL的成员可以来⾃所有的域，然后把这8个⼈都加⼊这个DL，并把FINA的访问权赋给DL。这样
做的坏处是什么呢？因为DL是在B域中，所以管理权也在B域，如果A域中的5 个⼈变成6个⼈，那只能A域管理员通
知B域管理员，将DL的成员做⼀下修改，B域的管理员太累了。这时候，我们改变⼀下，在A和B域中都各建⽴⼀个全
局组（G），然后在B域中建⽴⼀个DL，把这两个G都加⼊B域中的DL中，然后把FINA的访问权赋给 DL。哈哈，这下
两个G组都有权访问FINA⽂件夹了，是吗？组嵌套造成权限继承嘛！这时候，两个G分布在A和B域中，也就是A和B
的管理员都可以⾃⼰管理⾃⼰的G啦，只要把那5个⼈和3个⼈加⼊G中，就可以了！以后有任何修改，都可以⾃⼰做
了，不⽤⿇烦B域的管理员！这就是A-G-DL-P。  

校长ling

学习一下