Gruppentyp ändern

[Peterzz 11]

Hallo,

 

ich möchte in meinem AD alle Gruppen auf den Gruppentyp "universal" ändern.

Kennt jemand einen Weg, mit dem ich das Vorhaben schnell umsetzen kann. Es Handelt sich um ca. 800 Gruppen.

 

Gruß Peter

[Dukel 468]

Wieso möchtest du das machen?

Man kann nicht jeden Gruppentyp zu jedem Ändern.

[zahni 587]

Und der  Gruppentyp "Universal" sollte nicht grundsätzlich verwendet werden. Damit können wohl einige Anwendungen nicht anfangen. Den solltest Du nur in einem Mulit-Domain-Forrest  verwenden und dann auch nur für Domain-übergreifende Berechtigungen.

[Hippo 11]

Ich möchte es machen, damit ich die Möglichkeit habe aus jeder Gruppe auch eine Verteilerliste zu erstellen. Bei uns sind i.d.R. die Mitglieder in Rechtegruppen auch gleichzeitig Mitglieder in Exchange Verteilerlisten.

 

Das Anwendungen eventuell mit "Universal" Gruppen nicht anfangen können ist mir völlig neu. Was wären das z.B. für Anwendungen und welchen Hintergrund hat das? 

 

Danke schon mal.

[ChrisRa 42]

Du könntest es mit Powershell machen.

 

https://technet.microsoft.com/library/dd391953(WS.10).aspx

​

bearbeitet 15. Oktober 2015 von ChrisRa

[NilsK 3.045]

Moin,

 

Anwendungen ist der Gruppentyp egal. Anwendungen sehen nur das Access Token eines zugreifenden Users. Da stehen seine Gruppenmitgliedschaften drin, unabhängig vom Typ.

 

Universalgruppen haben in einem Single-Domain-Forest keine ernsthaften Nachteile.

 

Gruß, Nils

[zahni 587]

Zum Thema

 

https://technet.microsoft.com/en-us/library/cc755692(v=ws.10).aspx

 

Hier die Hinweise zu universellen Gruppen beachten. Ich würde die trotzdem in einer Single-Domain nicht  benutzen. Eventuell hat das noch Auswirkungen auf LDAP-Abfragen von 3rd-Party Programmen.

[NilsK 3.045]

Moin,

 

Hier die Hinweise zu universellen Gruppen beachten. Ich würde die trotzdem in einer Single-Domain nicht  benutzen.

 

wenn du Exchange ab 2010 einsetzt, geht gar kein Weg daran vorbei.

 

 

Eventuell hat das noch Auswirkungen auf LDAP-Abfragen von 3rd-Party Programmen.

 

Höchst unwahrscheinlich. Dafür müsste eine solche Abfrage schon gezielt nach dem Gruppentyp fragen, wie es etwa Exchange tut. Alles andere unterscheidet sich für abfragende Applikationen nicht. Die allermeisten Applikationen fragen das AD auch nach gar nichts, sondern schauen nur auf das Access Token des zugreifenden Users.

 

Hier besteht kein Grund zu übertriebener Vorsicht.

 

Gruß, Nils

[NorbertFe 2.277]

Das ist auch schon in Exchange 2007 so. ;) Also gibt's grundsätzlich keinen Stress damit. Ob man seinem "Bauchgefühl" mehr vertrauen sollte, wage ich in diesem Fall zu bezweifeln. :)

 

Bye

Norbert