Opis kont grup

Grupy domyślne, takie jak Administratorzy domeny, są grupami zabezpieczeń tworzonymi automatycznie podczas tworzenia domeny usługi Active Directory. Te wstępnie zdefiniowane grupy ułatwiają kontrolowanie dostępu do zasobów udostępnionych i delegowanie określonych ról administracyjnych na poziomie całej domeny.

Wielu grupom domyślnym jest automatycznie przypisywany zestaw praw użytkownika, które upoważniają członków grupy do wykonywania w domenie określonych czynności, takich jak logowanie się do systemu lokalnego czy wykonywanie kopii zapasowych plików i folderów. Na przykład członek grupy Operatorzy kopii zapasowych ma prawo do wykonywania kopii zapasowych w przypadku wszystkich kontrolerów domeny w domenie.

Po dodaniu do grupy użytkownik otrzymuje następujące prawa:

• Wszystkie prawa użytkownika, które są przypisane do grupy
  
  
• Wszystkie uprawnienia do zasobów udostępnionych, które są przypisane do grupy
  
  

Grupy domyślne znajdują się w kontenerach Wbudowane i Użytkownicy. Grupy domyślne w kontenerze Wbudowane mają zakres grupy Lokalna wbudowana. Nie można zmieniać zakresu i typu tych grup. Kontener Użytkownicy zawiera grupy o zakresie globalnym i grupy o zakresie lokalnym w domenie. Grupy zawarte w tych kontenerach można przenosić do innych grup lub jednostek organizacyjnych, ale nie do innych domen.

Aby uzyskać więcej informacji na temat grup domyślnych, zobacz artykuł Grupy domyślne https://go.microsoft.com/fwlink/?LinkId=131422 (strona może zostać wyświetlona w języku angielskim).

Grupy różnią się zakresem określającym obszar drzewa domen lub lasu, do którego grupa ma zastosowanie. Istnieją trzy zakresy grupy: lokalny w domenie, globalny oraz uniwersalny.

W usługach AD DS istnieją dwa typy grup: grupy dystrybucyjne i grupy zabezpieczeń. Grup dystrybucyjnych można używać do tworzenia list dystrybucyjnych poczty e-mail, a grup zabezpieczeń - do przypisywania uprawnień do zasobów udostępnionych.

Grup dystrybucyjnych można używać tylko z aplikacjami poczty e-mail (takimi jak program Microsoft Exchange Server 2007) do wysyłania poczty e-mail do grup użytkowników. Grupy dystrybucyjne nie obsługują włączonych zabezpieczeń, nie są więc wyświetlane na poufnych listach kontroli dostępu (DACL, Discretionary Access Control List). Jeśli jest potrzebna grupa służąca do kontroli dostępu do zasobów udostępnionych, należy utworzyć grupę zabezpieczeń.

Grupy zabezpieczeń, jeśli są używane z rozwagą, stanowią wydajną metodę udzielania dostępu do zasobów w sieci. Za pomocą grup zabezpieczeń można wykonywać następujące czynności:

• Przypisywanie praw użytkownika grupom zabezpieczeń w usługach AD DS
  
  Grupie zabezpieczeń przypisuje się prawa użytkownika, aby określić, jakie czynności mogą wykonywać członkowie tej grupy w zakresie domeny (lub lasu). Prawa użytkownika są automatycznie przypisywane niektórym grupom zabezpieczeń podczas instalowania usług AD DS, aby ułatwić administratorom określenie roli administracyjnej poszczególnych osób w domenie. Na przykład użytkownik dodany do grupy Operatorzy kopii zapasowych w usłudze Active Directory ma możliwość wykonywania kopii zapasowych oraz przywracania plików i katalogów na każdym kontrolerze domeny w domenie.
  
  
• Przypisywanie grupom zabezpieczeń uprawnień do zasobów
  
  Uprawnienia różnią się od praw użytkownika. Uprawnienia decydują o tym, kto może uzyskiwać dostęp do zasobu udostępnionego, i na jakim poziomie (na przykład Pełna kontrola). Grup zabezpieczeń można używać do zarządzania dostępem oraz uprawnieniami do zasobu udostępnionego. Niektóre uprawnienia ustawione dla obiektów domeny są automatycznie przypisywane, aby określić różne poziomy dostępu do domyślnych grup zabezpieczeń, takich jak grupa Operatorzy kont lub grupa Administratorzy domeny.
  
  

Podobnie jak grupy dystrybucyjne, grupy zabezpieczeń mogą być używane jako adresaci poczty e-mail. Wysłanie wiadomości e-mail do grupy powoduje wysłanie wiadomości do wszystkich członków tej grupy.

Oprócz grup, które znajdują się w kontenerach Użytkownicy i Wbudowane, serwery z systemem Windows Server 2008 R2, Windows Server 2008 lub Windows Server 2003 zawierają kilka tożsamości specjalnych. Dla wygody te tożsamości są zazwyczaj nazywane grupami. Te grupy specjalne nie mają określonych członkostw, które można zmodyfikować. Jednak mogą odpowiadać różnym użytkownikom w różnym czasie, w zależności od okoliczności. Następujące grupy odpowiadają tożsamościom specjalnym:

• Logowanie anonimowe
  
  Ta grupa odpowiada użytkownikom oraz usługom, które uzyskują dostęp do komputera oraz jego zasobów za pośrednictwem sieci, bez używania nazwy konta, hasła lub nazwy domeny. Na komputerach z systemem Windows NT lub starszym grupa Logowanie anonimowe jest domyślnie elementem członkowskim grupy Wszyscy. Na komputerach z systemem Windows Server 2008 R2, Windows Server 2008 lub Windows Server 2003 grupa Logowanie anonimowe domyślnie nie jest elementem członkowskim grupy Wszyscy.
  
  
• Wszyscy
  
  Ta grupa odpowiada wszystkim bieżącym użytkownikom sieci, w tym gościom i użytkownikom z innych domen. Ilekroć użytkownik loguje się do sieci, jest automatycznie dodawany do grupy Wszyscy.
  
  
• Sieć
  
  Ta grupa odpowiada użytkownikom, którzy w danej chwili korzystają z jakiegoś zasobu w sieci, w odróżnieniu od użytkowników, którzy uzyskują dostęp do zasobu, logując się lokalnie na komputerze, na którym znajduje się ten zasób. Ilekroć użytkownik uzyskuje dostęp do zasobu za pośrednictwem sieci, jest automatycznie dodawany do grupy Sieć.
  
  
• Interaktywna
  
  Ta grupa odpowiada wszystkim użytkownikom, którzy są w danej chwili zalogowani na określonym komputerze i korzystają z danego zasobu znajdującego się na tym komputerze, w odróżnieniu od użytkowników korzystających z tego zasobu za pośrednictwem sieci. Ilekroć użytkownik uzyskuje dostęp do danego zasobu na komputerze, na którym jest w danej chwili zalogowany, jest automatycznie dodawany do grupy Interaktywna.
  
  

Mimo że tożsamościom specjalnym można przypisywać prawa i uprawnienia do zasobów, ich członkostw nie można modyfikować ani wyświetlać. Zakresy grup nie mają zastosowania do tożsamości specjalnych. Użytkownicy są automatycznie przypisywani do tych tożsamości specjalnych, ilekroć logują się lub uzyskują dostęp do jakiegoś zasobu.

W usługach AD DS grupy są tworzone w domenach. Do tworzenia grup służy przystawka Użytkownicy i komputery usługi Active Directory. Mając odpowiednie uprawnienia, użytkownik może tworzyć grupy w domenie katalogu głównego lasu lub w dowolnej innej domenie w lesie albo w jednostce organizacyjnej.

Grupy różnią się domenami, w której są utworzone oraz zakresem. Zakres grupy określa:

• Domenę, z której można dodawać elementy członkowskie.
  
  
• Domenę, której dotyczą prawa i uprawnienia przypisane grupie.
  
  

Domenę lub jednostkę organizacyjną, w której ma zostać utworzona grupa, należy wybrać zgodnie z wymaganiami administracyjnymi grupy. Na przykład jeśli katalog zawiera wiele jednostek organizacyjnych, z których każda ma innego administratora, należy utworzyć grupy o zakresie globalnym w tych jednostkach organizacyjnych, tak aby administratorzy mogli zarządzać członkostwami grup użytkowników w poszczególnych jednostkach organizacyjnych. Jeśli grupy są wymagane do kontrolowania dostępu poza jednostką organizacyjną, grupy zawarte w jednostce organizacyjnej można zagnieździć w grupach o zakresie uniwersalnym (lub w innych grupach o zakresie globalnym), których można użyć w innym miejscu w lesie.

Jeśli poziomem funkcjonalności domeny jest poziom systemu Windows 2000 lokalny lub wyższy, domena zawiera hierarchię jednostek organizacyjnych, a administracja jest oddelegowana do administratorów poszczególnych jednostek, zagnieżdżenie grup o zakresie globalnym może być bardziej wydajnym rozwiązaniem. Na przykład jeśli jednostka organizacyjna JO1 zawiera jednostki organizacyjne JO2 i JO3, grupa o zakresie globalnym w jednostce organizacyjnej JO1 może zawierać jako elementy członkowskie grupy o zakresie globalnym z jednostek organizacyjnych JO2 i JO3. W jednostce organizacyjnej JO1 administrator może dodawać lub usuwać elementy członkowskie grup z jednostki organizacyjnej JO1, a administratorzy jednostek JO2 i JO3 mogą dodawać lub usuwać elementy członkowskie grup z ich własnych jednostek organizacyjnych, nie mając uprawnień administracyjnych do grupy o zakresie globalnym w jednostce organizacyjnej JO1.

	Uwaga
	Grupy można przenosić wewnątrz domeny. Jednak między domenami można przenosić tylko grupy o zakresie uniwersalnym. Prawa i uprawnienia udzielone grupie o zakresie uniwersalnym zostaną utracone po przeniesieniu tej grupy do innej domeny. Konieczne jest wtedy przypisanie nowych praw i uprawnień.

• Zarządzanie grupami