A csoportfiókok ismertetése

Az alapértelmezett csoportok, például a Tartománygazdák csoport, az Active Directory tartomány létrehozásakor automatikusan létrehozott biztonsági csoportok. Ezekkel az előre definiált csoportokkal könnyebben vezérelheti a megosztott erőforrások elérését, és speciális tartományszintű felügyeleti szerepköröket delegálhat.

Több alapértelmezett csoport rendelkezik olyan felhasználói jogokkal, amely bizonyos műveletek elvégzését engedélyezi a tagoknak a tartományon, mint például az egy helyi rendszerbe történő bejelentkezés vagy fájlok és mappák biztonsági másolatának készítése. A Biztonságimásolat-felelősök csoport tagja például megfelelő jogokkal rendelkezik biztonságimásolat-készítési műveletek elvégzéséhez a tartomány összes tartományvezérlőjén.

Ha egy felhasználót ad a csoporthoz, a felhasználó a következő elemeket kapja meg:

• A csoporthoz rendelt összes felhasználói jog
  
  
• A csoporthoz rendelt összes, megosztott erőforrásokra vonatkozó engedély
  
  

Az alapértelmezett csoportokat a program a Builtin és a Felhasználók tárolókban helyezi el. A Builtin tárolóban lévő alapértelmezett csoportok hatóköre Belső helyi. Ezeknek a csoportoknak a hatóköre és típusa nem módosítható. A Felhasználók tárolóban lévő csoportok egy része globális, egy másik része tartományon belüli hatáskörrel rendelkezik. Az ezekben a tárolókban lévő csoportok áthelyezhetők más csoportokba vagy szervezeti egységekbe a tartományon belül, de más tartományokba nem.

A csoportházirenddel kapcsolatos további információt az Alapértelmezett csoportok (https://go.microsoft.com/fwlink/?LinkId=131422) című témakörben talál (előfordulhat, hogy a lap angol nyelven jelenik meg).

A csoportokat meghatározó egyik jellemző a hatókör, amely a tartományfán vagy -erdőn belül a csoporthoz rendelt kiterjedést határozza meg. Három csoporthatókör létezik: tartományon belüli, globális és univerzális.

Az Active Directory tartományi szolgáltatásokban két csoporttípus létezik: terjesztési csoportok és biztonsági csoportok. A terjesztési csoportokkal e-mail terjesztési listákat hozhat létre, a biztonsági csoportokkal pedig hozzáféréseket adhat megosztott erőforrásokhoz.

A terjesztési csoportokat csak e-mail alkalmazásokkal használhatja (mint például a Microsoft Exchange Server 2007) e-mailek felhasználói csoportokhoz történő küldéséhez. A terjesztési csoportok nem biztosítanak biztonsági szolgáltatásokat, ami azt jelenti, hogy nem szerepelhetnek diszkrét hozzáférés-vezérlési listákban (DACL). Ha a megosztott erőforrások hozzáférésének szabályozásához van szüksége egy csoportra, hozzon létre egy biztonsági csoportot.

Ha megfelelően használja őket, a biztonsági csoportokkal hatékonyan végezheti el a hozzáférések hálózati erőforrásokhoz történő hozzárendelését. A biztonsági csoportok használatával:

• Felhasználói jogokat adhat az Active Directory tartományi szolgáltatások biztonsági csoportjaihoz.
  
  Felhasználói jogok biztonsági csoportokhoz rendelésével meghatározhatja, hogy mit tehetnek a csoport tagjai a tartomány (vagy erdő) hatókörén belül. Bizonyos biztonsági csoportok az Active Directory Tartományi szolgáltatás telepítésekor automatikusan felhasználói jogokat kapnak, hogy a rendszergazdák könnyebben meghatározhassák az egyének felügyeleti szerepkörét a tartományban. Az a felhasználó például, akit az Active Directory Biztonságimásolat-felelősök csoportjához adnak, biztonsági másolatokat készíthet és visszaállíthat fájlokat és mappákat a tartomány bármely tartományvezérlőjén.
  
  
• Rendeljen engedélyeket a biztonsági csoportokhoz az erőforrásokon.
  
  Az engedélyek különböznek a felhasználói jogoktól. Az engedélyek azt határozzák meg, hogy ki férhet hozzá egy megosztott erőforráshoz, továbbá meghatározzák a hozzáférés szintjét (például a teljes hozzáférést). Egy megosztott erőforrás elérését és engedélyeit a biztonsági csoportokkal kezelheti. Bizonyos engedélyek, amelyek tartományi objektumokon vannak beállítva, automatikusan meghatároznak bizonyos szintű hozzáféréseket alapértelmezett biztonsági csoportoknak, például a Fiókfelelősök vagy a Tartománygazdák csoportok számára.
  
  

A biztonsági csoportok a terjesztési csoportokhoz hasonlóan használhatók e-mail identitásokként. Ha egy e-mail üzenetet küld a csoportnak, a csoport összes tagja megkapja a levelet.

A Windows Server 2008 R2, a Windows Server 2008 vagy a Windows Server 2003 rendszert futtató kiszolgálók a Felhasználók és a Builtin tárolókban lévő csoportokon túl több speciális identitást is tartalmaznak. A kényelmes kezelhetőség érdekében ezekre az identitásokra általában csoportokként hivatkozunk. Ezek a speciális csoportok nem rendelkeznek módosítható speciális tagsági viszonyokkal. Ugyanakkor különböző időpontokban a körülményektől függően más és más felhasználókat jelölnek. A következő csoportok jelölnek speciális identitásokat:

• Névtelen bejelentkezés
  
  Ez a csoport azokat a felhasználókat és szolgáltatásokat jelöli, amelyek egy számítógépet és az erőforrásait felhasználónév, jelszó, vagy tartománynév nélkül érik el a hálózaton keresztül. A Windows NT rendszert és korábbi rendszereket futtató számítógépeken a Névtelen bejelentkezés csoport a Mindenki csoport alapértelmezett tagja. A Windows Server 2008 R2, Windows Server 2008 vagy Windows Server 2003 rendszert futtató számítógépeken a Névtelen bejelentkezés csoport alapértelmezés szerint nem tagja a Mindenki csoportnak.
  
  
• Mindenki
  
  Ez a csoport a hálózat összes aktuális felhasználóját tartalmazza, beleértve a más tartományokból származó vendégeket és felhasználókat is. Ha egy felhasználó bejelentkezik a hálózatra, a program automatikusan hozzáadja a felhasználót a Mindenki csoporthoz.
  
  
• Hálózat
  
  Ez a csoport az aktuálisan egy adott erőforráshoz a hálózaton keresztül kapcsolódó felhasználókat tartalmazza, ellentétben azokkal a felhasználókkal, akik az erőforrást tartalmazó számítógépen bejelentkezve érik el az erőforrást. Ha egy felhasználó a hálózaton keresztül ér el egy erőforrást, a program automatikusan hozzáadja a felhasználót a Hálózat csoporthoz.
  
  
• Interaktív
  
  Ez a csoport azokat a felhasználókat jelöli, akik be vannak jelentkezve egy számítógépre, és a számítógépen található erőforrást használják, ellentétben azokkal a felhasználókkal, akik az erőforrást a hálózaton keresztül érik el. Ha egy felhasználó egy olyan számítógép egy adott erőforrását használja, amelyre be van jelentkezve, a program automatikusan hozzáadja a felhasználót az Interaktív csoporthoz.
  
  

Bár a speciális identitásokhoz rendelhetők erőforrásokra vonatkozó jogok és engedélyek, a tagságok nem tekinthetők meg vagy módosíthatók. A csoporthatókörök nem vonatkoznak a speciális identitásokra. A program a felhasználókat automatikusan a speciális identitások egyikéhez rendeli, mikor bejelentkeznek, vagy egy adott erőforrást használnak.

Az Active Directory tartományi szolgáltatásokban a csoportok tartományokban hozhatók létre. Csoportok létrehozására használja az Active Directory - felhasználók és számítógépek eszközt. A szükséges engedélyekkel létrehozhat csoportokat az erdő gyökértartományában, az erdő bármely más tartományában vagy egy szervezeti egységben is.

Egy csoport a létrehozási tartományán kívül a hatókörével jellemezhető. Egy csoport hatóköre a következőket határozza meg:

• Azt a tartományt, amelyből felhasználók adhatók a csoporthoz
  
  
• Azt a tartományt, amelyben a csoporthoz rendelt jogok és engedélyek érvényesek
  
  

Válasszon egy adott tartományt vagy szervezeti egységet, majd hozzon létre a szükséges felügyeleti feladatok alapján egy csoportot. Ha például a címtár több szervezeti egységet tartalmaz, amelyek mindegyikének más a rendszergazdája, akkor érdemes azokon a szervezeti egységeket belül globális hatókörű csoportokat létrehozni, hogy a rendszergazdák kezelni tudják a saját szervezeti egységeiken belüli felhasználók tagságait. Ha szükségesek a csoportok a szervezeti egységen kívüli hozzáférés vezérléséhez, az erdő más részén használható univerzális hatókörű csoportokba (vagy más globális hatókörű csoportokba) ágyazhatja a csoportokat a szervezeti egységen belül.

Ha a tartomány funkcionális szintje Windows 2000 - natív vagy magasabb, a tartomány szervezeti egységek hierarchiáját tartalmazza, és a felügyelet az egyes szervezeti egységek rendszergazdáihoz van delegálva, akkor esetleg eredményesebben végezhető el globális hatókörű csoportok beágyazása. Ha például az 1. szervezeti egység tartalmazza a 2. szervezeti egységet és a 3. szervezeti egységet, akkor az 1. szervezeti egység tartalmazhat olyan csoportokat, amelyek globális hatókörű tagok a 2. szervezeti egységben és a 3. szervezeti egységben. Az 1. szervezeti egységben a rendszergazda hozzáadhat és eltávolíthat tagokat az 1. szervezeti egységen belül, a 2. szervezeti egység és a 3. szervezeti egység rendszergazdái pedig anélkül adhatnak hozzá vagy távolíthatnak el csoporttagokat a saját szervezeti egységükön belül, hogy rendszergazdai jogosultságuk lenne a globális hatókörű, 1. szervezeti egységben található csoportban.

	Megjegyzés
	Tartományon belül áthelyezhet csoportokat. Tartományok között viszont csak az univerzális hatókörű csoportok helyezhetők át. Egy univerzális hatókörű csoporthoz rendelt jogok és engedélyek elvesznek, mikor a csoportot egy másik tartományba helyezi át. Ilyenkor újra hozzá kell rendelnie a jogokat és engedélyeket.

• Csoportok kezelése