[ Pobierz całość w formacie PDF ]
.To pozwoli pozbyæ siê grup lokalnych domeny,dostêpnych w tej domenie, przed przeniesieniem serwera do domeny g³Ã³wnej, comog³oby stanowiæ problem, gdyby grupy te s³u¿y³y do przydzielania uprawnieñ(jak wspomniano w kroku 5: „Przeniesienie grup lokalnych domen zasobów dodomeny g³Ã³wnej”).Dlaczego prawa dostêpu s¹ zachowywane w ten sposóbFirmy u¿ywaj¹ce modelu domeny g³Ã³wnej zwykle tworz¹ w domenach zasobów jedyniegrupy lokalne, a nie grupy globalne lub konta u¿ytkowników.Firmy te nastêpnieprzydzielaj¹ uprawnienia do zasobów w domenach drugiego poziomu na jeden lubwiêcej z poni¿szych sposobów:Do grup globalnych z domeny g³Ã³wnej.Do grup lokalnych tworzonych w serwerach cz³onkowskich domeny zasobów.Do grupy lokalnych domeny tworzonych w PDC i BDC domeny zasobów.Gdy domena zasobów jest rozwi¹zywana do postaci OU w by³ej domenie g³Ã³wnej,identyfikatory SID u¿ytkowników i grup utworzonych w domenie zasobów przestaj¹byæ wa¿ne.Stanowi to problem, jeœli przydzielaliœmy prawa dostêpu do gruplokalnych domeny w samej domenie zasobów — lecz nie jeœli u¿ywane by³y doprzydzia³u uprawnieñ grupy lokalne w serwerach cz³onkowskich domeny zasobów,poniewa¿ te grupy s¹ przenoszone razem z serwerami (patrz Krok 4:„Przeniesienie wystawców zabezpieczeñ i serwerów cz³onkowskich do domenyg³Ã³wnej”), przez co identyfikatory SID pozostaj¹ wa¿ne.Wobec tego, gdy domena zasobów jest w³¹czana do domeny g³Ã³wnej, uprawnieniaprzydzielone wed³ug dwóch pierwszych pozycji z powy¿szej listy zostaj¹automatycznie zachowane.Uprawnienia przydzielone do grup lokalnych domenyzasobów nie s¹ zachowywane automatycznie, lecz mo¿na je zachowaæ za pomoc¹prostego przepisu z³o¿onego z siedmiu kroków, przedstawionego w tympodrozdziale.Jeœli do grup lokalnych domeny przydzielone s¹ uprawnienia, mo¿na pos³u¿yæ siêActive Directory w celu skopiowania wystawców zabezpieczeñ — takich, jak grupylokalne domeny zasobów — z jednej domeny do drugiej (krok 5.).Wystawcazabezpieczeñ przeniesiony do innej domeny posiada dwa SID: jeden ze starejdomeny (zapisany w sIDhistory), a drugi z nowej domeny.Nale¿y trochê „posprz¹taæ” listy ACL (do czego zwykle s³u¿y SIDWalker) zidentyfikatorów SID wskazuj¹cych na domenê zasobów po jej usuniêciu.Dobre radyInne typy domen podrzêdnych ni¿ napotkane w modelu domeny g³Ã³wnej nale¿y zwijaædo domeny nadrzêdnej w sposób bardzo podobny do opisanego w powy¿szejprocedurze.Warto te¿ trzymaæ siê porad ukrytych w siedmiu krokach opisanych wtym podrozdziale.Jeœli chcemy scaliæ lub zrestrukturyzowaæ posiadane domeny,musimy dok³adnie ustaliæ, jak przeprowadziæ restrukturyzacjê w stosunku doobiektów domeny (np.serwerów, grup, u¿ytkowników i uprawnieñ).Abyprzeprowadziæ te ustalenia, trzeba znaæ detale traktowania wystawcówzabezpieczeñ przy przenoszeniu serwerów miêdzy domenami Active Directory, orazmo¿liwoœci (i braki) poszczególnych narzêdzi Microsoftu s³u¿¹cych do migracji.Dlaczego grupy lokalne w DC wymagaj¹ specjalnego traktowaniaTrzeba bardzo uwa¿aæ, przenosz¹c wszelkie DC zawieraj¹ce grupy lokalne, z uwagina wyraŸne ró¿nice w semantyce grup lokalnych zdefiniowanych w serwerachcz³onkowskich i zdefiniowanych w BDC lub PDC:Grupy lokalne w serwerach cz³onkowskich — pozostaj¹ lokalne; istniej¹ tylko wbazie danych SAM serwera cz³onkowskiego i nie podlegaj¹ migracji do ActiveDirectory.Grupy lokalne domeny w kontrolerach PDC i BDC — przy tworzeniu grupy lokalnejdomeny w BDC, czynnoœæ ta zostaje wykonana zdalnie w PDC i replikowana zpowrotem do wszystkich BDC (poniewa¿ BDC dysponuj¹ baz¹ danych SAM tylko doodczytu) [ Pobierz caÅ‚ość w formacie PDF ]

zanotowane.pl

doc.pisz.pl

pdf.pisz.pl

listy-do-eda.opx.pl