从头开始创建安全组 - 最佳实践

Question

我需要在 AD 中创建安全组。我可以确定我需要的组，假设它们是：管理、财务、销售和工程。而且我可以确定每个组需要访问的资源（尽管这可能是一项乏味的任务）。我可以确定所需的访问级别。

大多数公司根据需要添加安全组。但这是公司已经成熟但之前从未使用过安全组的情况。是否有实施安全组的最佳实践？有什么提示吗？还是要避免的陷阱？有没有人知道任何可以加速组-> 资源映射过程的工具？

Answer 1

根据 Microsoft 对 Windows Server 2003 的建议（可在 MCSE 自定进度培训工具包中找到，用于考试70-294：规划、实施和维护 Microsoft Windows Server 2003 Active Directory 基础结构），我实施它的方式是：

• 为组织内的每个职位（例如 CEO、销售总监等）创建一个全局安全组
• 为每个资源创建一个域本地安全组（或两个组，如果您授予某些人只读权限而其他人修改权限）（例如，销售文件修改器、营销数据读取器）
• 使用域本地安全组为您的资源分配权限（例如，将销售文件的修改权限授予销售文件修改器组）
• 将用户分配到相关的全局安全组（例如，让您的 CEO 成为 CEO 安全组的成员）
• 将全局安全组添加到相关域本地安全组（例如，将 Sales Director 组添加到 Sales Files Modifiers 组）

所以你有：用户账户 -> 工作角色安全组 -> 资源权限安全组 -> 资源权限

这样做的话，如果您有很多资源，您最终可以得到很多组，特别是域本地组，但它保持相对简单和可维护。试图变得聪明并拥有多个级别的嵌套组是复杂性和灾难的秘诀，相信我！

确保管理员以外的任何人都无法完全控制任何文件也是一个好主意。这可以防止 s 用户试图太聪明并配置自己的权限。