Windows 2003 Domäne / Funktionsebene gemischt - wozu brauche ich überhaupt lokale Gruppen ?
Ich bin dabei, einen Windows 2003 Server einzurichten, er ist Domaincontroller und die Funktionsebene ist "Windows 2000 gemischt".
Wir haben noch einen Partner Betrieb, ebenfalls mit einem Windows 2003 Server , die Funktionsebene ist auch "Windows 2000 gemischt".
WIr sind keine Riesenfirma und ich frage mich , ob ich unbedingt nach diesem Schema vorgehen muss wg. der Berechtigungen.
In der Praxis hat sich folgende Verfahrensweise etabliert: Das A - G - DL - P Prinzip.
Accounts go in Global Groups nested in Domain Local Groups that are granted Permissions.
Man fügt ein Benutzerkonto (Account) in eine Globale Gruppe, anschließend in eine dömänenlokale Gruppe und vergibt die gewünschte Berechtigung auf die Ressource.
Es reicht doch, wenn ich nur globale Gruppen anlege oder ? Damit kann ich Nutzern jeweils Resourchen in der eigenen, der fremden Domäne freigeben und gleiches in der anderen Richtung.
Ansonsten habe ich doch alles doppelt, und ich frage für wofür den ganzen Aufwand treiben:
Das sähe dann so aus:
User XYZ in globale Gruppe "G-Verkauf" in die Gruppe in "L-Verkauf" stecken und dann der Gruppe L-Verkauf Ressourcen freigeben.
Wir haben max. 100 User - und das ist noch übersichtlich. Auch plane ich nicht die Verwendung von OUs und Konsorten.
Über Tips würde ich mich sehr freuen.
Ich bin dabei, einen Windows 2003 Server einzurichten, er ist Domaincontroller und die Funktionsebene ist "Windows 2000 gemischt".
Wir haben noch einen Partner Betrieb, ebenfalls mit einem Windows 2003 Server , die Funktionsebene ist auch "Windows 2000 gemischt".
WIr sind keine Riesenfirma und ich frage mich , ob ich unbedingt nach diesem Schema vorgehen muss wg. der Berechtigungen.
In der Praxis hat sich folgende Verfahrensweise etabliert: Das A - G - DL - P Prinzip.
Accounts go in Global Groups nested in Domain Local Groups that are granted Permissions.
Man fügt ein Benutzerkonto (Account) in eine Globale Gruppe, anschließend in eine dömänenlokale Gruppe und vergibt die gewünschte Berechtigung auf die Ressource.
Es reicht doch, wenn ich nur globale Gruppen anlege oder ? Damit kann ich Nutzern jeweils Resourchen in der eigenen, der fremden Domäne freigeben und gleiches in der anderen Richtung.
Ansonsten habe ich doch alles doppelt, und ich frage für wofür den ganzen Aufwand treiben:
Das sähe dann so aus:
User XYZ in globale Gruppe "G-Verkauf" in die Gruppe in "L-Verkauf" stecken und dann der Gruppe L-Verkauf Ressourcen freigeben.
Wir haben max. 100 User - und das ist noch übersichtlich. Auch plane ich nicht die Verwendung von OUs und Konsorten.
Über Tips würde ich mich sehr freuen.
