Локальные группы и группы домена

Вам не нужно знать все о доменах, чтобы понимать работу групп и способы их использования, но это знание полезно, когда компьютер расположен в рабочей группе и должен взаимодействовать с доменом либо когда системы Windows ХР являются членами домена.

Домены выступают в роли границы безопасности, которая служит для упрощения администрирования. Домен содержит учетные записи для всех пользователей, расположенных в нем, и пользователи могут проходить проверку подлинности по своей доменной учетной записи для получения доступа к ресурсам, расположенным в домене. Это значит, что не нужно создавать учетную запись на каждом компьютере с доступными для пользователей ресурсами. Вместо этого откройте доступ к каждому ресурсу, используя единую учетную запись домена. Если вы предоставляете доступ к папке на своем локальном компьютере, то при подключении удаленного пользователя к сетевой папке Windows ХР свяжется с контроллером домена для аутентификации пользователя на основе его доменной учетной записи.

Несколько доменов образуют лес доменов, а домены в лесу иерархически сгруппированы в доменные деревья. Первый домен в доменном дереве является корневым, другие называются дочерним. Домен, расположенный непосредственно над определенным доменом, является родительским, а домен, расположенный под ним, — дочерним., На рис. 34.1 показана иерархия домена.

Совет Вы не можете создавать домены на^ компьютере с системой Windows ХР: для них требуется платформа Windows NT Server, 2000 Server или Windows Server 2003, К тому же, логические связи доменов отличаются в NT и других платформах. Мое описание доменов в зтой главе предполагает использования Windows 2000 Server и выше.

В Windows ХР существует только один тип группы: локальная, то есть расположенная на локальном компьютере. Локальные пользовательские учетные записи также распложены на локальном компьютере.

Домен использует три типа групп, каждая со своей областью действия: локальную, глобальную и универсальную. Группы в универсальной области действия — всеобщие группы — могут содержать группы и учетные записи любого домена в доменном дереве или лесу. Им могут быть назначены разрешения в любом домене во всем лесу доменов.

Группы с глобальной областью действия — глобальные группы — могут содержать группы и учетные записи только того домена, в котором определена эта группа, но им могут быть назначены разрешения в любом домене в лесу.

Группы с локальной областью действия — локальные группы домена — могут содержать учетные записи и группы только своего домена, и им могут быть назначены права только в локальном домене.

Локальная группа, естественно, содержит только локальные пользовательские учетные записи. Однако если компьютер с системой Windows ХР расположен в домене, локальная группа также может включать в себя учетные записи пользователей этого домена. Поскольку книга посвящена Windows ХР, предположим, что вы создаете локальные группы и хотите добавить в эти группы как локальные, так и доменные учетные записи.