Active Diretory 全攻略（五）－－规划和建立组

核心提示： 2、全局：指派权限时使用范围可涉及林，但只能够含同域的其它帐户或组，Active Diretory 全攻略（五）－－规划和建立组(2)，叫做全局组，全局组可包含两种成员：1、同域的用户帐户，假如：旗标公司在广州总部和梅州与湛江两个分公司，总部和各个分公司的财务人员都要能够访问彼此的财务报表

2、全局：指派权限时使用范围可涉及林，但只能够含同域的其它帐户或组。叫做全局组。全局组可包含两种成员：1、同域的用户帐户，2、若域功能等级设为WINSOWS2000纯粹模式或WINDOWS SERVER 2003模式，则可包含同域的其它全局组。

全局组的权限范围是整个林，也就是说，我们可以将A域资源的访问权限指派给B、C、D等域的全局组，但是在实际应用上，最好将全局组加入本地域组中而不要直接将权限指派给全局组。

应用：利用本地域组与全局组来管理单一域。其规划方式称为“AGDLP”。下面举个例子：把需要相同权限的用户帐户加入同一个通用组，如将产品部门的员工加入PRODUCTS，会计部门的员工加入ACCOUNTINGS全局组中。把全局组加入本地域中，将PRODUCTS和ACCOUNTSINGS加入PRINTERS这个本地域组中。将域内资源的访问权限指派给本地域组。比如将打印机的访问权限指派给PRINTERS本地域组，则PROUDUCTS与ACCOUNTINGS就可以使用打印机了。使用删除和加入都是权限分配与否，非常方便。

3、通用：使用范围涉及到整个林。叫做通用组。通用组包括三种成员：1、任何域的用户帐户，2、任何域的全局组。3、任何域的通用组。由于跨域访问资源时，会利用全局编录来查询资源所在的位置，所以不同域的全局编录彼此间需要相互复制数据，以确保数据的同步。通用组的特性会把组名称和包含的成员都发布到全局编录上，如果其成员变动，就会触发全局编录之间的复制动作，造成网络可观的负载。然而，全局组和本地域组则只有组名称会记录于全局编录，组包含的成员信息不会放在那里，所以无论其成员如何变动，都不会影响到全局编录的属性而触发复制机制。

下面来看个利用通用组管理多个域。通用组存在的目的就是为了简化多域（林）的管理工作。假如：旗标公司在广州总部和梅州与湛江两个分公司，总部和各个分公司的财务人员都要能够访问彼此的财务报表，在不使用通用组时如下图。