AGDLP - Berühmt-Berüchtigt :D

[Whitewater 10]

Hi an alle,

 

ich muss mal wieder ein altes Thema aufrollen, das berühmte AGDLP-Verfahren.

Ich habe eigentlich eine relativ simple Frage, die mir allerdings schon ein wenig Kopfzerbrechen bereitet:

 

Worin liegt der genau Vorteil darin, ein Recht an einer Ressource "Daten" an eine lokale Domänengruppe zu vergeben, anstatt an eine globale Gruppe?

 

Hatte das nicht etwas mit dem globalen Katalog und der Replikation zu tun?

Wäre super, wenn mir da jemand auf die Sprünge helfen könnte.

 

Viele Grüsse!

[grizzly999 11]

Nein, mit dem GC hat das nichts zu tun, da liegen ja ALLE Objekte des ADS drin (mit einem Teilattributsatz).

Es ist vielmehr so, dass man bei "sauberem", konsequenten Durchziehen des AGDLP-Prinzips bei W2k, die Berechtigungsvergabe relativ bequem am DC im Active Directory Benutzer und Computer machen kann. Wenn man einen Ordner im Filesystem anlegt, dann sofort die zugehörigen domänenlokale Gruppen und ihnen die entsrechenden Berechtigungen zuweist, kann ich nachher die ganze Berechtigungsvergabe im ADS verwalten. Geht ja jetzt auch bequemer, da man bei Gruppen neben "Mitglieder" auch "Mitglied von" als Reiter hat.

Wahrscheinlich tritt die Stärke des Ganzen erst richtig in größeren Domänen mit mehreren Fileservern/*ablagen zu Tage, wenn ich eben nicht jedesmal erst im Explorer den Server suchen, an den Ordner gehen und dann Leuten Berechtigungen hinzufügen oder wegnehmen muss, sondern das nur über die Mitgliedschaft der vorhandenen DL-Group mache.

 

grizzly999

[Whitewater 10]

Hi Grizzly,

 

tausend Dank für deine schnelle Antwort.

Ja, das stimmt. Aber könnte ich dann nicht genausogut eine Art AGGP Prinzip verfolgen? Wozu brauche ich dann eine lokale Domänengruppe?

[Whitewater 10]

Ach halt moment! :D

Jetzt hab ichs wieder!

 

Da globale Gruppen nur Objekte der gleichen Domäne enthalten können, benutzt man lokale Domänengruppen.

Ansonsten müsste man bei mehreren Domänen der Ressource ja mehrere globale Gruppen aus den anderen Domänenhinzufügen, was die Übersichtlichkeit erschwert...

So war das doch, oder? :)

[grizzly999 11]

Genau da kommt die Vereinfachung und Übersichtlichkeit ins Spiel, bei domänenübergreifenden Berechtigungen im ADS...

 

 

grizzly999

[Whitewater 10]

na top, dann ist ja wieder alles klaro. :)

tausend dank.