AD: Gruppen als Mitglieder von Gruppen

[torstenv 10]

Hallo!

 

Dürfen Gruppen andere Gruppen als Mitglieder enthalten? Wo finde ich eine Aussage über diese Frage bei Microsoft?

 

Ich finde das etwas komisch, denn ich kann bei einer selbst angelegten Gruppe keine andere Gruppe als Gruppenmitglied mitgeben. Wenn ich aber die Mitglieder einer Gruppe aus dem Bereich "Builtin" (z.B. Gruppe "Administratoren") aufrufe, sehe ich, dass da sehr wohl Gruppen Mitglieder sind, nämlich z.B. die Gruppe "Domänen Admins". Diesen Gruppen kann ich weitere Gruppen als Mitglieder hinzufügen.

 

In wie weit wird die Gruppenzugehörigkeit rekursiv überprüft?

Also ein Benutzer, der der Gruppe a angehört, die Gruppe a hat aber die Gruppe b als Mitglied und b wiederum c. Wie tief kann ich das schachteln?

[Fistandantilus 10]

das ganze nennt sich gruppenverschachtelung

und laut ms solltest du das prinzip aglp verwenden

was so viel heißt wie account - globalgroup - local group - permissions

 

 

hoffe das hilft

[boeglischwinger 10]

Grundsätzliche ist eine Verschachtelung möglich, so weit ich weiß fast in beliebiger Tiefe. Hast du vielleicht Probleme, dass deine Gruppe noch nicht zu allen DCs repliziert wurde?

[torstenv 10]

Ich habe die Hierarchie noch nicht verstanden.

 

Wäre es denn theoretisch möglich, Zirkelschlüsse zu produzieren?

 

also a->b->a ?

 

Falls nein, warum nicht?

 

Ich lege in der OU Users eine Gruppe a und eine Gruppe b an. Ich kann aber b nicht zum Mitglied von a machen. Warum nicht?

[Fistandantilus 10]

welche art von gruppe ist das lokal oder global

[torstenv 10]

Der Hinweis hat geholfen, ich habe nun gesehen, dass ich lokalen Gruppen globale Gruppen hinzufügen kann. Ich kann aber keine Verschachtelung herstellen. D.h. der lokalen Gruppe kann ich nur eine globale Gruppe hinzufügen (andere lokale Gruppen gehen nicht), dieser globalen Gruppe kann ich aber weder lokalen Gruppen noch globale Gruppen hinzufügen.

 

Oder gehts doch anders? Kann man auch eine tiefere Verschachtelung herstellen?

 

Die Frage stellt sich mir, weil ich herausfinden muss, ob ein Administrator theoretisch Zirkelbezüge in den Gruppen herstellen kann.

 

Ich danke im voraus!

 

T.

[gr@mlin 10]

hi,

 

schau mal in die hilfe des servers unter "verschachtelung", da wird das ganz gut erklärt.

 

gruss, gr@mlin