1.3-AD域控基础-AD域控组的介绍；AD域控的全局组和通用组有什么作用以及特点？组的作用域有什么特点？

目录

（1）组类型

（2）组的作用域：

（3）组类型和作用域联系区别

（4）如何创建组的类型，如何使用组？

（1）组类型

在Active Directory中，安全组和通讯组（分配组）是两种不同类型的组：

字段名称是GroupCategory：（Security | Distribution）

注意：在中文版系统中，通讯组实际是分配组。故而单词是Distribution的

类型1：安全组Security

• 安全组是用于授权访问资源的基本形式。它们可以包含用户、计算机和其他组，并且可以授予对文件夹、文件、共享、打印机等资源的访问权限。
• 安全组可以用于将一组用户或对象添加到另一个组中，以便更容易地进行管理。安全组还可用于分配权限或授权访问。
• 例如，你可以创建一个名为 "Sales" 的安全组，然后向该组添加销售部门的所有员工，以便将来可以轻松地授予该组访问企业内部应用程序的权限。

类型2：通讯组（分配组Distribution）

• 通讯组是一种特殊类型的组，主要用于向一组用户或对象发送电子邮件、文本消息等通信。
• 通讯组不用于授权访问资源。它们可以包含用户、计算机和其他组，但不能将通讯组作为成员添加到其他组中。因此，如果你要授权访问，则必须使用安全组；如果你要仅限于发送消息，则可以使用通讯组。

用途：安全组主要用于访问授权，而通讯组主要用于通信目的。

（2）组的作用域：

创建组先确定组的类型，然后选择组的作用域。

①本地域组：

• 本地域组是在单一域中使用的组，只能包含该域中的用户和计算机。它们用于授予访问本地资源的权限，比如文件夹或打印机等。

②全局域组：

• 全局域组可跨多个域使用，并且可以包含来自不同域的用户和计算机。它们用于组织用户和计算机，以便进行集中管理和授权。

③通用域组：

通用域组也可跨多个域使用，并且可以包含来自不同域的用户和计算机。但与全局域组不同的是，通用域组可以与其他域内所有安全主体相互交互，包括其他域内的通用和全局组。

通用组：比如父域vk.local和子域qq.vk.local。创建一个通用组即可将两个域的成员加入同一个组。

（3）组类型和作用域联系区别

组类型：确定授权权限是属于什么类型？访问资源权限？还是用于通讯权限？

作用域：确定，权限作用的范围。仅仅作用于本域？还是跨域？

（4）如何创建组的类型，如何使用组？

使用组目的好处：统一管理具有特定的某种权限，将拥有这种权限的成员，统一加入此组即可。

比如：文件共享时候，可以创建一个组，然后成员全部加入此组，即可共享此文件夹。

创建组：组类型+组作用域。（权限+范围）