用好Group與OU

■

對(duì)于技術(shù)素養(yǎng)不菲的很多管理員，活動(dòng)目錄（AD）中的Group（組）與OU（組織單元，organizationl unit）從概念上很少會(huì)混淆，但筆者發(fā)現(xiàn)在現(xiàn)實(shí)工作中遇到具體問題需要解決時(shí)，有不少人卻往往忽視了二者的界限，從而導(dǎo)致不能迅速徹底地解決燃眉之急。

在Windows 2000之前的Windows NT中，并沒有OU，當(dāng)時(shí)雖然已經(jīng)有了Group，但其選項(xiàng)比今天要少很多。在Windows NT中有兩種Groups，一種是 Global Groups（全局組），另一種是Local Groups（局 部 組）。Global Groups來自并存在于域控制器 DC（domain controllers），它對(duì)于域至關(guān)重要，因?yàn)樗哂斜阌谙到y(tǒng)跟蹤的安全標(biāo)志SID（security identifier）。

在這一點(diǎn)上，Local Groups也很近似，它同樣具有可供系統(tǒng)跟蹤的SID，不過它除了可以在DC生成，也可以在工作站或服務(wù)器生成。二者主要區(qū)別在于，Global Groups可以被域內(nèi)所有工作站和服務(wù)器看到，而Local Groups僅能被DC看到。另外，如果是從工作站或服務(wù)器生成的Local Groups也只能在本地機(jī)看到。

我們不難想見，較為常規(guī)的配置是，用戶將會(huì)加入到Global Groups，存放資源（文件夾，文件等）置于Local Groups中，更具體地，它通常是DC本身或者存放著公司業(yè)務(wù)數(shù)據(jù)的Server。

活 動(dòng) 目 錄AD（Active Directory）帶來的變化是重要的，隨之而來的是出現(xiàn)了一種新的對(duì)象類型：OU（organizational unit）。AD和OU豐富了Group的類型，它們彼此不可互換，但又彼此相互聯(lián)系。AD Group當(dāng)然是一種Global Group，但它可以包含其他的Global Groups，這在之前的Windows NT是根本不可能的。其實(shí)，在AD中還有另一種域組為 Universal Group（統(tǒng)一組），其主要目的在于突破域間的限制，它可以被Forest（林）中所有域都看到。

活動(dòng)目錄的問世，改變了Local Groups的歷史，代之以Domain Local Groups，這種變化具有革命意義，因?yàn)镈C對(duì)Local Groups的直轄迫使工作站服務(wù)器上的Local Groups必須加入到域中。AD所帶來的全新的Groups模式形成了這樣的“生態(tài)”：用戶users需要放入Global Groups，Global Groups需要放入Domain Local Groups，而Domain Local Groups需要放入存放在服務(wù)器上的訪問控制列表內(nèi)；假如存在多個(gè)域，那么包含users的Global Groups就需要放入 Universal Groups，之后Universal Groups就會(huì)被放入Domain Local Groups，該Domain Local Groups就會(huì)出現(xiàn)在訪問控制列表內(nèi)。

反觀OUs與Groups具有諸多不同，例如 ：OUs并沒有 SIDs，不能放入訪問控制列表，也不能放進(jìn)Group。既然OUs有很多“不行”，那么它的價(jià)值何在呢？

OUs的本職在于組織AD中的對(duì)象（Objects），可以授權(quán)對(duì)其內(nèi)部對(duì)象的管理和部署組策略設(shè)置。簡(jiǎn)言之，Groups旨在對(duì)數(shù)據(jù)的訪問準(zhǔn)許，OUs主要實(shí)現(xiàn)對(duì)其對(duì)象的控制（體現(xiàn)為組策略設(shè)置）。