Windows 服务器。组织单位和团体之间的区别？（活动目录）

Question

所以它们都是用来组织其他对象的对象。您可以向其中添加用户、组和计算机。

1. 它们之间有什么区别？
2. 划分公司中不同部门（OU或组）的用户和计算机的最佳方式是什么？

Answer 1

概括：

OU 包含用户对象，组包含用户对象列表。

您将用户放入组中以控制该用户对资源的访问。您将用户放入 OU 中以控制谁对该用户拥有管理权限。

它们就像文件服务器（您的 AD）上的文件夹（OU）和文件（组）：管理整个文件夹而不是单个文件的权限/ACL 更容易，并通过以下方式将它们应用到文件（组）：自动继承。这种类比在拒绝访问：了解 AD OU 和组之间的区别中有详细解释：

[...] 因为用户和组具有 ACL，所以您可以将部分管理权限委派给子管理员。但是，就像单独维护每个文件的 ACL 是不切实际的一样，单独控制每个用户或组对象的管理权限也是不切实际的。因此，您可以将想要允许特定子管理员管理的所有用户和组收集到一个 OU 中，然后向该子管理员授予对该 OU 的适当权限。您在 OU 的 ACL 中定义的权限会向下流动到该 OU 中的所有用户和组，就像文件夹 ACL 向下流动到文件夹中的所有文件一样。

差异：

• 您可以将组策略链接到 OU，但不能链接到组
• 您可以向组授予文件/文件夹/共享权限，但不能向 OU 授予权限
• 组有 SID，OU 没有

建议：

• 您应该使用 OU 来组织您的 Active Directory，以便更容易管理（例如将对用户和组的管理控制权委托给其他管理员）
• 您应该使用组来授予对资源的权限（例如文件服务器上共享的读取权限）
• 从链接的资源：

  为了帮助您保持 OU 和组的一致性，请记住，一个用户可以是多个组的成员，但只能驻留在一个 OU 中，就像文件只能驻留在一个文件夹中一样。

所以你应该使用它们来做不同的事情。