Tipo de grupo e uso de escopo no Windows

Windows 2000 e posterior estende o conceito de Microsoft Windows NT 4.0 de grupos de usuários adicionando grupos universais e de distribuição. No Windows NT 4.0, há somente grupos locais e globais e ambos são considerados grupos de segurança.

No Windows 2000 e posterior, há dois tipos de grupos: segurança e distribuição. Além disso, existem três escopos: universal, global e domínio local.

Tipos de grupos

Segurança

Grupos de segurança são usados para controlar o acesso aos recursos. Eles também podem ser usados como listas de distribuição de email.

Distribuição

Grupos de distribuição podem ser usados somente para listas de distribuição de email ou agrupamentos administrativos simples. Esses grupos não podem ser usados para controle de acesso porque eles não são "segurança habilitada". Em domínios de modo nativo, um tipo de grupo pode ser convertido em qualquer momento. Em domínios de modo misto, tipo um grupo de é corrigido no momento da criação e não pode ser alterado.

Tipos de escopo

Universal

Grupos universais podem ser usados em qualquer lugar na mesma floresta do Windows. Eles só estão disponíveis em uma empresa de modo nativo. Grupos universais podem ser uma abordagem mais fácil para alguns administradores porque há não intrínsecas limitações no uso. Os usuários podem ser atribuídos diretamente a grupos universais, eles podem ser aninhados, e eles podem ser usados diretamente com listas de controle de acesso para indicar as permissões de acesso em qualquer domínio na empresa.

Grupos universais são armazenados no catálogo global (GC); isso significa que todas as alterações feitas a esses grupos engender replicação para todos os servidores de catálogo global da empresa inteira. As alterações a grupos universais, portanto, devem ser feitas somente após um exame cuidadoso das vantagens de grupos universais em comparação com ao custo da carga de replicação de catálogo global maior. Se uma organização tem mas uma rede única e bem conectada, nenhuma degradação de desempenho deve ser passou, enquanto sites amplamente dispersas podem ter um impacto significativo. Normalmente, as organizações usando WANs devem usar grupos universais somente para grupos relativamente estáticos na qual membros alterar raramente.

Global

Grupos globais são o principal escopo dos grupos no qual os usuários são colocados em domínios de modo misto. Grupos globais podem ser colocados apenas nos descritores de segurança dos objetos de recursos que residem no mesmo domínio. Isso significa que você não pode restrinja o acesso a um objeto com base exclusivamente na participação do usuário em um grupo global de outro domínio.

Membros do grupo global para um usuário é avaliado quando esse usuário fizer logon em um domínio. Como membros do grupo global é centrado em domínio, as alterações nos membros do grupo global não impor replicação de catálogo global em toda uma empresa inteira.

Em um domínio de modo nativo, grupos globais podem ser aninhados uns dentro dos outros. Isso pode ser útil quando os administradores têm unidades organizacionais aninhadas e deseja delegar funcionalidade administrativa OU (unidade organizacional) de maneira normalmente decrescente para baixo uma árvore OU. Nessa situação, uma árvore de grupo global pode ser usada como uma construção paralela para a atribuição desses privilégios decrescente

Domínio local

Grupos locais de domínio podem ser usados para a atribuição direta de diretivas de acesso em recursos específicos que não estão diretamente armazenados no Active Directory, (como compartilhamentos de servidor de arquivos, filas de impressora e assim por diante).

Grupos locais de domínio não devem ser usados para atribuir permissões em objetos do Active Directory, como grupos locais de domínio não podem ser avaliados em outros domínios e partes da maioria dos objetos do Active Directory obter replicados para outros domínios no formulário do GC. Restrições de acesso colocadas em objetos do Active Directory que sejam baseiam membros do grupo local de domínio não têm efeito em consultas de GC que ocorrem em grupos seja o domínio no qual o grupo de domínio local foi originada.