2010/12/6 群組領域

AD 文件 群組領域

作者: Microsoft TechNet (04-17 10:51) 發表討論 列印 詳細資料

Group scope

無論是安全性群組或發佈群組，群組都具有領域的特徵，領域會確認群組在網域樹狀目錄或樹系中的適用範圍。
有 3 個群組領域：萬用，通用，及網域區域。
• 萬用領域群組的成員可以涵蓋來自網域樹狀目錄或樹系中任何網域的其他群組及帳戶，並且可以在網域樹狀目
錄或樹系的任何網域中授與使用權限。

• 通用領域的群組僅會將網域 (在此網域中定義群組) 的群組及帳戶視為成員，並且可以在樹系的任何網域中授與

使用權限。

• 網域本機群組的成員包括來自 Windows Server 2003、Windows 2000 或 Windows NT 網域的其他群組或帳戶，

而且只能指派網域內的使用權限。

下列表格摘要不同群組領域的行為。
萬用領域 通用領域 網域區域領域
當網域功能等級設定為 Windows 2000 原 當網域功能等級設定為 Windows 2000 當網域功能等級設定為 Windows 2000 原始模式或
始模式或 Windows Server 2003 時，萬用 原始模式或 Windows Server 2003 Windows Server 2003 時，網域本機群組的成員可以
群組的成員可以包括來自任何網域的帳 時，通用群組的成員可以包括來自相 包括來自任何網域的帳戶、通用群組及萬用群組，以
戶、通用群組和萬用群組。 同網域的帳戶和通用群組。 及來自相同網域的網域本機群組。
當網域功能等級設定為 Windows 2000 混 當網域功能等級設定為 Windows 2000 當網域功能等級設定為 Windows 2000 混和模式時，
合模式時，無法建立具有萬用領域的安全 混合模式時，通用群組的成員可以包 網域本機群組的成員可以包括來自任何網域的帳戶及
性群組。 括來自相同網域的帳戶。 通用群組。
當網域功能等級設定為 Windows 2000 原
始模式或 Windows Server 2003 時，群組 群組可加入其他群組中，並且可指派 群組可加入其他網域本機群組中，並且可指派僅在相
可以新增到其他群組，並指派任何網域的 任何網域中的使用權限。 同網域中的使用權限。
使用權限。
群組可轉換為網域本機領域。只要沒有其 只要群組不是任何具有通用領域的其
只要群組不是具有網域區域領域的其他群組成員，群
他萬用群組是以成員存在，群組就可以轉 他群組成員，群組即可轉換為萬用領
組即可轉換為萬用領域。
換成通用領域。 域。

When to use groups with domain local scope

具有網域區域領域的群組，可協助您定義及管理單一網域內的資源存取。群組有下列成員：
• 通用領域的群組
• 萬用領域的群組
• 帳戶
• 網域區域領域的其他群組
• 上述的任何搭配

例如，若要讓五個使用者存取特定的印表機，可以在印表機使用權限清單中，新增五個使用者帳戶。不過，如果
要讓這五個使用者存取新增的印表機，則須在使用權限清單中，為新增印表機重新指定所有五個帳戶。

運用一點計劃，您就可藉由建立網域區域領域群組，並指派存取印表機的使用權限給它，以簡化此日常系統管理
工作。將五個使用者帳戶放在通用領域的群組中，並將此群組新增到具有網域區域領域的群組中。要讓這五個使
用者存取新增印表機時，請將使用權限指派給網域區域領域的群組，以存取新增印表機。通用領域群組的所有成
員會自動接收對新增印表機的存取。

When to use groups with global scope

使用通用領域群組，可以管理需要每天維護的目錄物件，如使用者及電腦帳戶。因為通用領域群組不會在各自的
網域之外複寫，所以可以經常變更通用領域群組的帳戶，而不須產生到通用類別目錄的複寫流量。

life.iiietc.ncu.edu.tw/…/show.php?p… 1/2
2010/12/6 群組領域
雖然權利及使用權限指派只在所指派的網域內有效，但藉由將通用領域群組套用到跨數個適當網域，即可將參照
合併到具有相似目的之帳戶。這樣會簡化並合理化跨網域的群組管理。例如，在有兩個網域 (歐洲及美國) 的網路
中，如果美國網域中有稱為 GLAccounting 的通用領域群組，則歐洲網域中也應該有稱為 GLAccounting 的群組
(除非歐洲網域沒有帳戶處理功能)。

指定複寫到通用類別目錄的網域目錄物件上的使用權限時，建議您使用通用群組或萬用群組，而不要使用網域本
機群組。

When to use groups with universal scope

使用萬用領域的群組，以合併跨網域的群組。若要這樣做，請將帳戶新增到通用領域群組，並在萬用領域群組
中，將這些群組做巢狀處理。使用此策略，則通用領域群組中任何成員資格的變更，都不會影響萬用領域的群
組。

例如，在具有兩個網域 (歐洲及美國) 的網路中 (每個網域中都有一個稱為 GLAccounting 的通用領域群組)，建立

稱為 UAccounting 的萬用領域群組，這會具有兩個 GLAccounting 群組成員，UnitedStates\GLAccounting 和
Europe\GLAccounting。UAccounting 群組可用於企業的任何位置。獨立 GLAccounting 群組成員資格中的任何變
更，將不會導致 UAccounting 群組的複寫。

因為這些群組成員資格的任何變更，都會將群組的整個成員資格，複寫到樹系中的每個通用類別目錄中，所以萬
用領域群組的成員資格不應經常變更。

Changing group scope

建立新的群組時，無論目前網域模式為何，都會預設設定為通用領域的安全性群組。雖然在網域功能等級設為
Windows 2000 混合模式的網域中不允許變更群組領域，但是在網域功能等級設為 Windows 2000 原始模式或
Windows Server 2003 的網域則允許下列轉換：
• 通用到萬用。只有在您要變更的群組並非其他通用領域群組的成員時才允許。
• 網域區域到萬用。只有在您要變更的群組並非其他網域本機群組的成員時才允許。
• 萬用到通用。只有在您要變更的群組沒有其他的萬用群組成員時才允許。
• 萬用到網域區域。這項操作沒有限制。

Groups on client computers and stand-alone servers

有些群組功能 (如萬用群組、群組巢狀處理，及安全性群組與發佈群組) 只有在 Active Directory 網域控制站及成

員伺服器上才能使用。不論是 Windows 2000 Professional、Windows XP Professional、Windows 2000 Server
上的群組帳戶，還是執行 Windows Server 2003 的獨立伺服器，這些的作業方式與在 Windows NT 4.0 中相同：
• 只有本機群組才能在本機電腦上建立。
• 只能在已建立本機群組的電腦上，為該群組指派使用權限。

life.iiietc.ncu.edu.tw/…/show.php?p… 2/2