مشکل در طراحی گروه و ou در اکتیو دایرکتوری
سلام
دوستان من تو طراحی ou و گروه یه خورده مشکل دارم میخوام بدونم چطوری اینها طراحی میشن
مثلا ما یه سازمان داشته باشیم که چند تا قسمت داره
1-ریاست
2-it
3-مالی
4-اموراداری
5-حراست
6-عمران
الان باید برای هر کدام از این بخش ها یک ou بسازم
و برای هر کدامشان یک گروه هم ایجاد کنم
و یوزرهای هر بخش تو گروه مربوطه و گروه هر کدام تو ou خودش بزارم(یعنی گروه ریاست در ou ریاست و گروه مالی در ou مالی و........)
حالا از ou برای اعمال گروپ پالسی و از گروهها هم برای دادن permision استفاده کنم
خواستم بدونم این طراحی درسته؟؟
9 پاسخ
سلام
شما باید به این توجه داشته باشید که ساخت OU فقط برای دسته بندی Object ها هستش
بهتره که برای هر OU یه گروه هم بسازید که اصطلاحا بهش میگم Shadow Group و حتما هم لازم نیست توی همون OU بذاریدش ولی خب برای نظم بهتره بذارید توی OU خودشون
هر User هم که توی هر OU هست عضو گروه مربوطه هم بشه
ساخت این نوع گروه ها به دردتون میخوره یه روزی
نه دیگه بنظرم گروه لازم نیست، همین که شما کاربرای هر بخشو تو یه OU بذارین و از طریق Group Policyها برای هر OU محدودیت هایی رو اعمال کنید کافیه. و اینکه از گروه معمولا برا یک سری کارای دیگه مثل دادن Share Permission و NTFS Permission و این چیزا استفاده کنید. پس با این تفاسیر ینی اینکه درست کار رو دارین پیش میبرین!
شما یه User رو عضو هر چندتا گروه دوست داری بکن
اگه مثلا عضو 2 تا گروه باشه که هر 2 تا گروه هم روی یه فولدر Permission داشته باشن ( یکی Read و یکی Write )
این دوتا با هم Merge میشن (یعنی User هم Read داره هم Write)
همیشه مادامی که Permission ها با Conflict نکن با هم Merge میشن
اگه Conflict کردن اونی که دسترسی بیشتری داره در نظر گرفته میشه
در حالت عادی بعید میدونم طوری Permission بدید که Conflict کنه
و Deny روی Overwrite , Allow میشه
ممنون از وقتی که میزارید
منم همین فکر کردم که مدیر هربخش گروه جدا براش درست کنم
فقط یه سوال دیگه میمونه در مورد ou من وقتی گروپ پالسی تعریف میکنم به کل اون ou اعمال میشه
الان میخوام مثلا مدیر های هر بخش گروپ پالسی بهشون ندم یا محدودیتاشون کم کنم نسبت به بقیه کارمندا
حالا باید یه ou دیگه درست کنم و مدیرا بزارم در اون؟
میشه یک یوزر یا گروه در دو ou گذاشت بعد کدام گروپ پالسی روشون اعمال میشه؟
ممنون فقط یه سوال دیگه داشتم
میشه یک یوزر عضو 2 گروه کرد؟
اگر اره
مثلا من به یک گروه مجوز read میدم به گروه بعدی مجوز write میدم به یوزری که عضو دو تاگروه کدام اعمال میشه؟
برا طراحی خودم اینجوری کار کردم که برا هر قسمت یه ou ساختم و یوزرا رو اوردم داخل ou که از طریق اکتیودایرکتوری و گروپ پالسی مدیریت خوبی روی یوزرا داشته باشم اما توی bultin هم اومدم برا هر قسمت گروه ساختم که برا FS هم روی پوشه های share شده مدیریت خوبی داشته باشم.
ممنون
ولی مثلا من در ساختار بالا که 6 گروه دارم میخوام مثلا مدیر حسابداری مدیر حراست مدیر عمران ..
کلا مدیر هر بخش مجوزهای خاصی بهشون بدم
گروه حسابداری کارمنداش یه مجوز ولی مدیر بخش حسابداری جدا یه مجوز دیگه داشته باشه
این جوری ایا باید یه گروه جدید ایجاد کنم و مدیرهای هربخش تو این گروه بزارم؟
نه دیگه این ممکن نیست یه Object همزمان توی 2تا OU باشه
شما میتونید از طریق Console GPMC از طریق Security Filtering به گروه یا یوزر Deny Permission بدید اینطوری اون Policy که روش Select کرده بودید به اونهایی Deny کردید اعمال نمیشن
خودتون رو زیاد درگیر ساخت Sub OU های مختلف نکنید
اگه شما یه گروه برای مدیران درست کنید و به اون گروه Permission بدید
اونوقت مثلا مدیر حسابداری به اسناد عمران هم دسترسی داره اونم چه دسترسی "همون دسترسی که مدیر عمران داره"
اگه فقط و فقط مدیر هست میتونید فقط به اون Permission بدید
اما اگه من جای شما بودم
یه گروه میساختم برای مدیریت هر بخش و به اون Permission میدادم
با اینکه شما شاید بگید گروه یه نفره به چه درد میخوره و چرا برای یک نفر باید یه گروه بسازم؟؟
این کار فقط زحمت اولیه اش یه ذره بیشتر هست اما بعدها کارتون رو خیلی خیلی راحت میکنه
حالا چرا؟؟؟
فردا اگه مدیر رو عوض کردن یا اگه خواستن یه نفر دسترسیش به اسناد مثل مدیر باشه
فقط کافیه یه نفر رو عضو گروه کنید یا از گروه بندازید بیرون
راحتتون کنم تا جای ممکن سعی کنید (خیلی هم سعی کنید) وقتی Tab Security یه فولدر رو میبینید فقط و فقط گروه ببینید نه User