Gruppenzugehörigkeit bei vertrauten Domänen

[Reiner Wolff]

Moin moin,

falls es für mein Anliegen eine geeignetere NG geben sollte, bin ich ein
Korrektur dankbar.

Ich hatte eigentlich mal gedacht, ich käme mit der Rechtevergabe und
Gruppenorganisation gut zurecht. Und plötzlich ergibt sich bei mir ein
Knoten im Hirn, den mir hier hoffentlich jemand lösen kann (wäre zumindest
nett).

Gegeben sind 2 Domänen, zwischen denen eine Vertrauensstellung eingerichtet
ist. In Domäne A gibt es eine Gruppe 'Abteilungsleiter', in der einige
Mitglieder der Domäne A sind. Dieser Gruppe wurden alle gewünschten
Berechtigungen erteilt. Soweit kein Problem.

Nun gibt es einen Mitarbeiter in Domäne B, der eben dieser Gruppe
'Abteilungsleiter' der Domäne A zugeordnet werden soll, da er dieselben
Berechtigungen benötigt.
Und schon bin ich gefangen im Nicht-Verständnis von lokalen, lokalen
Domänen, globalen und universellen Gruppen.

Richte ich die Gruppe 'Abteilungsleiter' als globale oder universelle
Gruppe ein, kann ich den Mitarbeiter aus Domäne B nicht hinzufügen.
Richte ich die Gruppe als lokale Domänengruppe ein, kann ich zwar den
Mitarbeiter aus Domäne B hinzufügen (macht für mich schon keinen Sinn, dass
ich lediglich einer 'lokalen' Gruppe ein Domänenfremden Account hinzufügen
kann, nicht aber einer globalen oder universellen), aber nun der Gruppe in
Domäne B selber keine Berechtigungen mehr vergeben, da diese ja lokal ist.

Meine bislang einzige und imho etwas umständliche Lösung zu dem Problem
wäre folgendes Prinzip, um nicht ständig Probleme mit derartigen
Verknüpfungen zu haben:
Ich richte in der Domäne A eine globale Gruppe 'globAbteilungsleiter' ein,
der ich die entsprechenden Mitarbeiter aus Domäne A zuordne. Zudem richte
ich eine lokale Gruppe 'lokAbteilungsleiter' ein, der ich die eben
erstellte globale Gruppe als Mitglied zuordne und zusätzlich den
Mitarbeiter bzw. eine dortige globale Gruppe aus Domäne B. Der Gruppe
'lokAbteilungsleiter' erteile ich sodann alle Berechtigungen die benötigt
werden.

Wenn ich das für alle Gruppen und Fälle mache, hat das doch eigentlich nur
zur Folge, dass ich - sinnloser Weise - die meisten Gruppen doppelt habe
und den globalen Gruppen keine Berechtigungen erteile.
Frage1: Wäre mein Vorschlag überhaupt eine Lösung?
Frage2: Wie löst man das Problem anständig, so dass es auch
administrativ Sinn macht?

Vielen Dank fürs lesen. Ich bin für jeden Vorschlag dankbar ;-)

Greetinx aus Kiel
Reiner

[Mark Heitbrink [MVP]]

Hi,

[...] Und schon bin ich gefangen im Nicht-Verständnis von lokalen,
lokalen Domänen, globalen und universellen Gruppen.

Suchbegriff: AGDLP
Account -> Global Group -> Domain/Local Group -> Permissions
http://www.microsoft.com/technet/itsolutions/cits/dsd/acctmgmt/acmarch/acmarch2.mspx

Also den Benutzer in eine Globale Gruppe packen, diese zu Mitgliedern
einer Lokalen Domänengruppe machen und für diese die Rechte vergeben.

Tschö
Mark

[unknown]

Salut,

Post by Reiner Wolff
falls es für mein Anliegen eine geeignetere NG geben sollte, bin ich ein
Korrektur dankbar.

evtl. wäre ..german.windows.server.general geeigneter,
aber trotzdem versuche ich Dir "hier" zu helfen ;-)

Post by Reiner Wolff
Gegeben sind 2 Domänen, zwischen denen eine Vertrauensstellung eingerichtet
ist.

Da Du in der 2000er-Group Deine Frage stellst, gehe ich von
Windows 2000 Domänen aus ?
In welchem Domänenfunktionsmodus befinden sich die
jeweiligen Domänen (Native oder Mixed) ?

Ohne den Rest weiter zu kommentieren, hier eine
allgemeine Empfehlung zu Gruppen(verschachtelung).

Das A-G-DL-P-Prinzip arbeitet nicht mit lokalen, sondern mit
domänenlokalen Gruppen. Diese werden im Active Directory gespeichert
und funktionieren nur im Native Mode, weil im Mixed Mode die
domänenlokalen Gruppen nur auf den DCs eingesetzt
werden können. Erst im Native Mode stehen die
domänenlokalen-Gruppen auf allen Domänenmitgliedern zur
Verfügung.

Globale Gruppen können nur Mitglieder derselben Domäne enthalten.
Daher ist es empfehlenswert, in einer Multi-Domain-Struktur
das A-G-DL-P-Prinzip anzuwenden.
Richte eine Domänenlokale Gruppe (DL) in der Domäne ein, in
der die Ressource/Freigabe sich befindet.
Dieser DL-Gruppe erteilst Du Deine gewünschte Berechtigung.
Dann fügst du die jeweiligen Globalen Gruppen aus den
Zieldomänen in diese DL-Gruppe ein.
DomänenLokale-Gruppen können Mitglieder aus
X-beliebigen Domänen haben, steuern aber immer nur den Zugriff auf
Ressourcen der eigenen Domäne.

http://support.microsoft.com/kb/259392/en-us

[Reiner Wolff]

Moin Yusuf,
moin Mark,

vielen Dank für Eure Antworten.

Post by unknown

Post by Reiner Wolff
falls es für mein Anliegen eine geeignetere NG geben sollte, bin ich ein
Korrektur dankbar.

Yusuf, Dein OjE produziert Kammquotes ;-)

Post by unknown
evtl. wäre ..german.windows.server.general geeigneter,
aber trotzdem versuche ich Dir "hier" zu helfen ;-)

Danke für den Hinweis.

Post by unknown

Post by Reiner Wolff
Gegeben sind 2 Domänen, zwischen denen eine Vertrauensstellung eingerichtet
ist.

Da Du in der 2000er-Group Deine Frage stellst, gehe ich von
Windows 2000 Domänen aus ?

Yepp.

Post by unknown
In welchem Domänenfunktionsmodus befinden sich die
jeweiligen Domänen (Native oder Mixed) ?

Es sind noch nicht alle auf den Native-Mode umgestellt worden. Bislang gab
es dafür keine Notwendigkeit, die wir gesehen hätten.

Post by unknown
Das A-G-DL-P-Prinzip arbeitet nicht mit lokalen, sondern mit
domänenlokalen Gruppen. Diese werden im Active Directory gespeichert
und funktionieren nur im Native Mode, weil im Mixed Mode die
domänenlokalen Gruppen nur auf den DCs eingesetzt
werden können. Erst im Native Mode stehen die
domänenlokalen-Gruppen auf allen Domänenmitgliedern zur
Verfügung.

Aha, dann sollten wir wohl mal in den Native-Mode wechseln, da es eh keine
NT4.0 oder Nicht-Windows-Domänen bei uns mehr gibt.

Post by unknown
Globale Gruppen können nur Mitglieder derselben Domäne enthalten.

Ja, das musste ich ja mit Bedauern feststellen. Sinn macht das für mich
nicht wirklich.

Post by unknown
Daher ist es empfehlenswert, in einer Multi-Domain-Struktur
das A-G-DL-P-Prinzip anzuwenden.

Davon habe ich heut zum ersten Mal gehört.
Wieder wat gelernt.

Post by unknown
Richte eine Domänenlokale Gruppe (DL) in der Domäne ein, in
der die Ressource/Freigabe sich befindet.
Dieser DL-Gruppe erteilst Du Deine gewünschte Berechtigung.
Dann fügst du die jeweiligen Globalen Gruppen aus den
Zieldomänen in diese DL-Gruppe ein.
DomänenLokale-Gruppen können Mitglieder aus
X-beliebigen Domänen haben, steuern aber immer nur den Zugriff auf
Ressourcen der eigenen Domäne.
Also den Benutzer in eine Globale Gruppe packen, diese zu Mitgliedern
einer Lokalen Domänengruppe machen und für diese die Rechte vergeben.

Und klingt nach dem von mir vorgeschlagenen Szenario.
Vielen Dank für die Bestätigung, dass ich Berechtigungsgruppe und Gruppe
für die Verwaltung von Personen trennen muss, wenn ich vernünftig
Domänenübergreifende Berechtigungen setzen will.
Einen Grund, warum Microsoft dies unnötig umständlich gemacht hat, gibt es
aber anscheinend nicht.
Naja, nicht jedes M ist gold, äh ist halt nicht alles Gold was glänzt ;-)

Greetinx aus Kiel
Reiner

[Yusuf Dikmenoglu]

Morsche,

Post by Reiner Wolff
Yusuf, Dein OjE produziert Kammquotes ;-)

ich dachte mir, dass Du so früh am morgen mal Deine Haare durchkämmen
solltest,
daher habe ich Dir diesen /Kammquote/ zugeschickt ;-Þ

Post by Reiner Wolff
Aha, dann sollten wir wohl mal in den Native-Mode wechseln, da es eh keine
NT4.0 oder Nicht-Windows-Domänen bei uns mehr gibt.

Auf alle Fälle, wenn es keinen Bedarf mehr gibt, sollte man in den Native
Mode wechseln. Man muss natürlich etwas in die Zukunft schauen bei diesem
Wechsel, aber ich denke, NT möchte man heute nicht mehr im Netz haben ;-)

Post by Reiner Wolff
Ja, das musste ich ja mit Bedauern feststellen. Sinn macht das für mich
nicht wirklich.

Ja, evtl. ist der Name "Globale Gruppen" etwas irreführend.

[Norbert Fehlauer [MVP]]

Reiner Wolff wrote:
Hi,

Post by Reiner Wolff
Es sind noch nicht alle auf den Native-Mode umgestellt worden.
Bislang gab es dafür keine Notwendigkeit, die wir gesehen hätten.

Andersrum wird bei sowas ein Schuh draus. Gab es denn Notwendigkeiten den
Modus _nicht_ umzuschalten?

Post by Reiner Wolff
Aha, dann sollten wir wohl mal in den Native-Mode wechseln, da es eh
keine NT4.0 oder Nicht-Windows-Domänen bei uns mehr gibt.

Beides sind im Übrigen keine Hinderungsgründe für das Umschalten.

Bye
Norbert

PS: Die beiden Domains sind in einem Forest, oder zwei eigenständige
Forests?

[Reiner Wolff]

Moin Norbert,

Post by Norbert Fehlauer [MVP]

Post by Reiner Wolff
Es sind noch nicht alle auf den Native-Mode umgestellt worden.
Bislang gab es dafür keine Notwendigkeit, die wir gesehen hätten.

Andersrum wird bei sowas ein Schuh draus.

Das sagst Du, nur zurückstellen kann man es schließlich nicht ;-)

Post by Norbert Fehlauer [MVP]
Gab es denn Notwendigkeiten den Modus _nicht_ umzuschalten?

Ich hatte zumindest damals es so verstanden, dass es dann mit der
Zusammenarbeit mit dem NT4.0 Probleme geben könnte. War aber damals auch
noch nicht die Bohne für Administration zuständig ;-)

Post by Norbert Fehlauer [MVP]
PS: Die beiden Domains sind in einem Forest, oder zwei eigenständige
Forests?

Es handelt sich um zwei eigenständige Forests.
Müßte man bei zwei Domänen innerhalb eines Forests überhaupt
Vertrauensstellungen zwischen den beiden einrichten?

Greetinx aus Kiel
Reiner