60、深入理解与运用Active Directory的组功能

深入理解与运用Active Directory的组功能

1. Active Directory基础需求

在管理数据库时，有两个关键需求：
- 灾难恢复 ：可以使用Server 2003自带的备份工具对Active Directory（AD）进行备份和恢复，以应对可能出现的灾难情况。
- 安全控制 ：数据库需要严格的安全控制，明确谁可以在何时、何地修改哪些内容。Active Directory允许将安全设置细化到记录级别，例如可以指定只有Sue能够修改Joe的账户信息。

2. 用户和机器组的引入

网络工程师的很多工作都涉及利用网络操作系统的内置安全功能来执行公司政策。例如，网络上可能存在只有制造部门经理才能查看的文件。为了实现这一安全访问控制，传统的方法是为每个用户账户单独授予权限，但这种方法工作量巨大，且人员变动时需要频繁调整权限。

更好的解决方案是使用Active Directory创建组。以制造部门经理组为例，操作步骤如下：
1. 创建一个名为“Manufacturing Managers”的组（组名可自定义）。
2. 选择特定的用户账户添加到该组中。
3. 修改文件权限，将访问权限授予该组，而不是单个用户账户。这样，组内的成员将自动继承文件访问权限。

例如，当Jane、Sue和Tom被提升为制造部门经理后，若使用组管理，只需将他们添加到“Manufacturing Managers”组中，他们就能立即获得制造部门经理专属的10个共享资源的访问权限；而不使用组时，则需要逐个共享资源添加他们的名字。