OU, группы и модель AGDLP

OU (Organizational Unit) — это логическая папка внутри домена. Она служит двум целям: применению GPO и делегированию административных прав (Delegation).

Типы групп

• Security Group — используется для прав доступа (та, которую вы будете использовать в 99% случаев).
• Distribution Group — только для списков рассылки по электронной почте.
• Scope: Domain Local / Global / Universal — определяет, кто может быть членом и где можно использовать группу.

AGDLP — золотое правило

Accounts ← Global group ← Domain Local group ← Permission. Иными словами: пользователи входят в глобальную группу по роли, глобальная группа входит в локальную группу, представляющую ресурс, и только локальной группе присваивается реальное право доступа.

New-ADOrganizationalUnit -Name "Finance" -Path "DC=lab,DC=local"
New-ADGroup -Name "G_Finance_Staff" -GroupScope Global -GroupCategory Security -Path "OU=Finance,DC=lab,DC=local"
New-ADGroup -Name "DL_FinanceShare_Modify" -GroupScope DomainLocal -GroupCategory Security -Path "OU=Finance,DC=lab,DC=local"
Add-ADGroupMember -Identity "DL_FinanceShare_Modify" -Members "G_Finance_Staff"

New-ADOrganizationalUnit -Name "Finance" -Path "DC=corp,DC=com" -ProtectedFromAccidentalDeletion $true
New-ADGroup -Name "GG_Finance" -GroupScope Global -Path "OU=Finance,DC=corp,DC=com"
New-ADGroup -Name "DL_Finance_RW" -GroupScope DomainLocal -Path "OU=Finance,DC=corp,DC=com"
Add-ADGroupMember -Identity DL_Finance_RW -Members GG_Finance