23、Active Directory 安全管理指南

Active Directory 安全管理指南

1. 安全与权限管理概述

在网络环境中，确保资源的安全性至关重要。管理安全的一般做法是将用户分配到组中，然后为组授予权限和登录参数，使其能够访问特定资源。为了便于管理并实现分层结构，可以将组放置在组织单位（OU）内，还可以为 OU 中的所有对象分配组策略设置。

常用的管理用户、组和计算机安全权限的工具是 Active Directory 用户和计算机工具。系统管理员常见的任务包括：
- 重置用户密码（例如用户忘记密码时）
- 创建新用户账户（如新员工入职时）
- 根据工作要求和职能的变化修改组成员身份
- 禁用用户账户（例如用户长时间不在办公室且无需访问网络资源时）

2. Active Directory 对象的权限

每个 Active Directory 对象都有一个访问控制列表（ACL），它是允许访问该资源的用户账户和组的列表。对于每个 ACL，都有一个访问控制条目（ACE），用于定义用户或组对该资源的实际操作权限。拒绝权限总是排在首位，这意味着如果用户通过用户或组成员身份拥有拒绝权限，即使他们通过其他用户或组权限拥有明确的允许权限，也将无法访问该对象。

以下是一些可应用于各种 Active Directory 对象的权限及其说明：
| 权限 | 说明 |
| ---- | ---- |
| 控制访问 | 更改对象的安全权限 |
| 创建子对象 | 在 OU 内创建对象（如其他 OU） |
| 删除子对象 | 删除 OU 内的子对象 |
| 删除树 | 删除一个 OU 及其内部的对象 |