组作用域 - Win DC中 全局组和本地域组的区别

前言
Native Mode（本地模式）和Mixed Mode（混合模式）之区别
本地模式和混合模式是两种域的操作模式，默认新建的域为混合模式。如果你不清楚可以在 Active Directory 域和信任关系中查到当前域的操作模式。本地模式要求所有的域控制器是Windows 2000,注意,是域控制器，也就是安装了Active Directory的服务器，并非成员服务器（没有装AD）。成员服务器和客户机依然可以运行Windows NT ,Windows 9X 系列。混合模式下域控制器中还可以有Windows NT Server，所以微软在说明混合模式主要用于域迁移过程中，如从NT4 Domain 升级到 2000 Domain。

[补充]域模式的提升是不可逆的，一旦提升至本级模式将不能返回混合模式，俺这里没有其它域控制器，域直接创建成本机模式

正文
A.OU（组织单元）与Group（组）之对比
首先我们要明确OU与Group是完全不同的概念，OU的主要是为进行管理上层次组织以及组策略的实施而设立的容器。简单的说，你不能为一个OU设置权限，但是，你可以为一个OU指定组策略，并且，你可以为一个OU将权力委派控制（在2000中是这么说的，但说成是“下放”也不为过）给特定的用户，组，或计算机（有点儿象人事部？），让他（她，它）们对OU内的成员有额外的权利。
Group相比起OU，分类更为复杂一些。但你可以为组分配权力和权限，这一点OU是做不到的。微软对组的作用的解释是：
1．管理用户和计算机对资源（网络共享、文件、目录、打印机，以及AD内对象的属性）的访问。
2．建立 E-Mail 发送列表。
3．过滤（或筛选）组策略
总而言之，一句经典的话可以概括OU与Group的不同
---------------------------------------------------------------------------------------

OU定义的是谁可以管理我
组定义的是我可以管理谁

---------------------------------------------------------------------------------------

B.现在我们明确了Group和OU的区别，下面我们来说一下组作用域和组类型的问题。
1.组作用域
组作用域分为三类：Domain Local Group（本地域），Global Group（全局），Universal（通用）。这三类之间的区别，又要分为两种域模式Native Mode（本地模式）和Mixed Mode（混合模式）的不同来区别对待。
通用作用域
---------------------------------------------------------------------------------------
在本机模式域中，可将其成员作为来自任何域的帐户、来自任何域的全局组和来自任何域的通用组。
在本机模式域中，不能创建有通用作用域的安全组。
组可被放入其他组（当域处于本机模式时）并且在任何域中指派权限。
不能转换为任何其他组作用域。
全局作用域
--------------------------------------------------------------------------------------------------------
在本机模式域中，可将其成员作为来自相同域的帐户和来自相同域的全局组。
在本机模式域中，可将其成员作为来自相同域的帐户。
组可被放入其他组并且在任何域中指派权限。
只要它不是有全局作用域的任何其他组的成员，则可以转换为通用作用域。
域本地作用域
-------------------------------------------------------------------------------------------------------
在本机模式域中，可将其成员作为来自任何域的帐户、全局组和通用组，以及来自相同域的域本地组。
在本机模式域中，可将其成员作为来自任何域的帐户和全局组。
组可被放入其他域本地组并且仅在相同域中指派权限。
只要它不把具有域本地作用域的其他组作为其成员，则可转换为通用作用域。

[补充]微软的定义：
http://www.microsoft.com/technet/prodtechnol/windowsserver2003/zh-chs/library/ServerHelp/79d93e46-ecab-4165-8001-7adc3c9f804e.mspx?mfr=true
以上表从微软Windows 2000帮助中摘来，可以看到在本机模式下组的功能有多么强大，而在混合模式中，你仅仅可以做到以下：将全局组加入域内本地组。微软推荐这样的一套管理策略：A G DL P 也就是说：
a.根据管理需要建立全局组（Global Group），同时将用户加入全局组内
b.建立域本地组（Domain Local Group），将全局组加入不同的域本地组内
c.将资源的权限给予域本地组。
事实上，对处于混合模式的域来说，这样的管理出现以下的危机：你只能将本地（域控制器上）文件夹的权限以域本地组，而对成员服务器（没有装AD的服务器）而言，个人在AD中建立的域本地组是不可见的。这样的话，只能在DC上给域本地组指派权限，而无法在成员服务器上给域本地组指派权限，这样新建的域本地组岂不是根本没用。
2.组类型
Windows 2000 的域拥有两种组类型，安全组（Security Groups）与分布组（Distribution Groups）。然而，事实上操作系统用到的只有安全组，你可以给安全组赋权，默认情况下我们建立的也是安全组。
你不能把对象的权限给予分布组，分布组主要是为某些应用程序准备的，而且此应用程序不能用做安全用途。当你需要给同一组的人发送邮件时可能会用到它，这时当然不会涉及到安全问题。
[俺的补充]Windows 2003中分布组叫做通讯组
可以组合使用全局组、域本地组和通用组，以控制对网络资源的访问。全局组的基本用途是把用户组织到代表其相应域的管理容器之中。通用组可以用于包括来自各种域的全局组，进而在授予权限时进一步管理域层次结构。可以全局组添加到通用组中，然后给资源在物理上所在域本地组分配权限。使用这些方法创建组，管理员就可以在每个域的全局组中添加或删除用户，对整个企业资源的访问进行控制，而无需在多个位置进行更改。
再抄一个过来，这个解释的通俗些

==============================================================================================
全局组、域本地组、通用组到底有什么区别？它们之间的关系如何?

很多初级网管员对全局组、域本地组、通用组之间区别、关系比较模糊。对于这个问题我们首先要明确全局组、域本地组、通用组的的作用范围。
全局组：可以全局使用。即：可在本域和有信任关系的其它域中使用，体现的是全局性。MS建议的规则：基于组织结构、行政结构规划。
域本地组：只能在本域的域控制器DC上使用。MS建议的规则：基于资源（夹、打印机……）规划。
在域的混合模式下，只能把全局组加入到域本地组，即AGDLP原则。
注意：2000/03域的默认模式为：混合模式。则域本地组：只能在本域的域控制器DC上使用。若域功能级别转成本机模式（或称2000纯模式），甚至03模式，域本地组可在全域范围内使用。
说明：全局组和域本地组的关系，非常类似于域用户帐号和本地帐号的关系。域用户帐号，可以全局使用，即在本域和其它关系的其它域中都可以使用，而本地帐号只能在本地机上使用。下面我来举两个例子来进一步说明（以混合模式下为例）：
例1：将用户张三（域帐号Z3）加入到域本地组administrators中，并不能使Z3对非DC的域成员计算机有任何特权，但若加入到全局组Domain Admins中，张三就是域管理员了，可以在全局使用，对域成员计算机是有特权的。
例2：只有在域的DC上，对资源（如：文件/夹）设置权限，你可以指派域本地组administrators；但在非DC的域成员计算机上，你是无法设置域本地组administrators的权限的。因为它是域本地组，只能在DC上使用。
通用组：组的成员情况，记录在全局目录GC中，非常适于林中跨域访问使用。集成了全局组和域本地组的长处。
AGDLP
A (account):用户帐户
G (Global group):全局组
DL (Domain local group):域本地组
P (Permission):许可
按照AGDLP的原则对用户进行组织和管理起来更容易
在AGDLP形成以后当给一个用户某一个权限的时候,只要把这个用户加入到某一个本地域组就可以了
域本地组 生效范围 域本地组所属的域。
全局组 本域和所有被信任的域。
通用组 森林中所有的域。
域模式不同，可成为的成员不同。
域本地组成员的生效范围是本域，主要用于权限访问的ALP策略。
单域环境下直接把用户账号加入全局组，给全局组赋予权限就可以了。
作用域 可见性 可包含
域本地 域 用户、域本地、全局或通用组
全局 林 用户或全局组
通用 林 用户、全局或通用组
组是可包含用户、计算机和其他组的活动目录或本机对象。使用组可以控制和管理用户和计算机对活动目录对象及其属性、网络共享位置、文件、目录、打印机等共享资源的访问，还可以向一组用户发送电子邮件。
在Windows 2000域中，组根据其类型可以分为安全组（Securiy Group）和分布组（Distribution），根据其范围又可以分为全局组（Global Group）、域本地组（Domain Local Group）和通用组（Universal Group）。组的类型决定组可以管理哪些类型的任务，组的范围决定组可以作用的范围。
1. 组的类型
（1）分布组：分布组一般用于组织用户。使用分布组可以向一组用户发送电子邮件，由于它不能用于与安全有关的功能，不能列于资源和对象权限的选择性访问控制表（DACL）中。因此，只有在电子邮件应用程序（如Exchange）中才用到分布组。
（2）安全组：安全组一般用于与安全性有关的授权功能。使用安全组可以定义资源和对象权限的选择性访问控制表（DACL），控制和管理用户和计算机对活动目录对象及其属性、网络共享位置、文件、目录和打印机等资源和对象的访问。安全组中的成员会自动继承其所属安全组的所有权限。
安全组具有分布组的全部功能，也可用作电子邮件实体。当向安全组发送电子邮件时，会将邮件发给安全组的所有成员。
2. 组的范围
（1）全局组：全局组的成员关系和范围如表1。
表1 全局组的成员关系和范围
混合模式 本机模式
可包含的成员 本域中的用户账号
可加入的组 域本地组
作用范围 在本域和所有的信任域中都是可见的
权限范围 森林中所有的域

=====================================================================================
（2）域本地组：域本地组的成员关系和范围如表2。
表2 域本地组的成员关系和范围
混合模式 本机模式
可包含的成员 任何域中的用户账户和全局组 森林中任何域中的用户账户、全局组和通用组
以及本域中的域本地组
可加入的组 不能是任何组的成员 本域中的域本地组
作用范围 只在其自己的域中可见
权限范围 域本地组所在的域

=====================================================================================
（3）通用组：域本地组的成员关系和范围见表3。
表3 域本地组的成员关系和范围
混合模式 本机模式
可包含的成员 不能创建通用组 森林中任何域中的用户账户、全局组和其他的通用组
可加入的组 不能创建通用组 任何域中的域本地组和通用组
作用范围 在森林中的所有域中都是可见的
权限范围 目录林中的所有域
如果要在域目录林中实现对于资源（可以是文件夹或打印机）的访问授权，推荐使用 “AGDLP”规则。即首先把用户账户（Account）加入到全局组（Global group），然后把全局组加入到域本地组（Domain Local group，可以是本域或其他域的域本地组），最后，对于域本地组进行授权（Permissions）。
到了现在，你可能在想“为什么我要用其它组类型，而不用通用组？它给了我要的一切!”答案是，因为通用组和它的成员被列在全局编目里 (GC)。
每次GC在你的森林的域之间复制时，都包括通用组的成员。与通用组类似，全局组和域本地组也被列在GC里，但是，它们的成员并不列在GC中。通过在合适的位置使用全局组和域本地组，你能够减小你的AD DC的尺寸，这样就会明显地降低保持GC最新所产生的复制流量。
在选择组范围时，应当仔细选择。在你的域运行在混合模式下时，你不能改变组的范围。如果你运行在纯(Native)模式，就允许你把全局组转变通用组，前题是全局组不是另外一个全局的成员，也可以把域本地组转变成通用组，前提是域本地组中不包括另一个域本地组作为它的成员。
现在知道了组的范围，再让我们简略地谈谈建立新组最简单的部分－组的名称。在你为组起名时，全局组和域本地组在你创建它们的域里必须是唯一的。而通用组，则必须在整个森林里是唯一的。特别注意的是，由于GC中不仅包含通用组，还包含有通用组的成员信息，因此每次对通用的修改（成员增加/删除），都会引发GC复制流量。所以，通用组的成员不要经常频繁的发生变化。否则会带来大量的复制流量。另外，WIN2000在登录时系统需要向GC查询用户的通用组成员身份，以生成访问令牌，所以在GC不可用时，WIN2000用户有可能不能正常访问网络资源。