[Server 2008] Global groups & users van een ander domein?*

[dulghar]

Ik ben voor mezelf begonnen met MCITP Server 2008 Enterprise Administrator.

Nu ben ik bij Hoofdstuk 4, les 1 en loop meteen tegen iets vreemds aan. Het gaat hier over groepen.
Nu staat er letterlijk in het boek:

Global groups can contain as members users, computer and global groups from the same domain.

en even verderop nog een keer:

only users, computers and global groups from the same domain

Nu wordt hierover natuurlijk een vraag gesteld aan het eind van de les en afleidende uit bovenstaande regels, maak ik op dat zowel de gebruikers, computers als global groups alleen vanuit hetzelfde domein toegevoegd mogen worden.

Volgens de antwoorden in het boek mag je ook rustig gebruikers uit het zelfde forest en van een trusted domain toevoegen. Wat is nu waar ? Kan iemand mij hiermee helpen?

[mookie]

Het verhaal met de groepen werkt alsvolgt.

Je hebt:
domain local groups
domain global groups
universal groups.

Onder normale omstandigheden zul je altijd rechten op bestanden met domain local groups regelen.
Hierin kun je dan meteen gebruikers zetten, of je kunt gebruikers in global groups zetten en dan vervolgens die global in de local.

dus:

account -> global -> local -> permission
AGLP. Onthoudt AGLP dat is handig als je straks examen hebt.
Maar ALP is ook mogelijk... geen probleem.

Het grote verschil tussen domain local en domain global is:
- Een domain global kan alleen objecten uit het eigen domein bevatten.
- Een domain local group kan zowel uit het eigen domein als uit een trusted domain objecten bevatten
Naast die 2 regels geld ook nog eens:
- Een domain global is zichtbaar in het eigen domein, maar ook in andere trusted domeinen
- Een local group is alleen zichtbaar in het eigen domein.

Daarom zet je local groups op mappen/bestanden, want als je dan 2 domeinen hebt die een 2way trust relatie hebben kun je mensen uit domein A in een local group van domein B zetten om zodoende rechten te geven op een map/bestand dat op een server in domein B staat.

Echter: domain local groups zijn niet in elkaars domeinen zichtbaar.
Dus een DL uit domein A is niet zichtbaar in domein B.
Een global group is wel zichtbaar in beide domeinen.

Dus, mapA uit domeinA heeft rechten via localgroepA
In localgroepA zit b.v:
- gebruikerA uit domeinA
- gebruikerB uit domeinB
- globalgroupA uit domeinA
- globalgroepB uit domeinB
- localgroupA2 uit domeinA
Maar nooit kan er zitten in localgroupA: localgroupB uit domeinB.

Universal groups moet je alleen maken als het echt moet, maar in de theorie van AGLP word het met universal groups AGULP
Dus account -> global group -> universal group -> local group -> permissions

typefouten en wazige uitleg voorbehouden.....