5.

1 Introducere

OU-urile (Organizational Unit) reprezinta modalitatea de organizare din Active Directory. OU-urile
reprezinta grupari logice utilizate pentru a contine obiecte din Active Directory. Cu toate astea, ele nu
fac parte din spatiul de nume al DNS. Au un singur rol si anume de a contine alte obiecte.
Structura creata cu ajutorul OU-urilor este una ierarhica ce permite o flexibilitate extrem de mare.
Organizarea initiala se poate schimba in functie de schimbarile din cadrul firmei.
Un alt avantaj major este ca OU-rile reprezinta cel mai granular mod de asignare a politicilor de grup.
Cu alte cuvinte putem asigna politici de grup pe OU-uri, reusind administrarea lor centralizata si
gruparea lor logica.
Scopul OU-urilor este de a organiza obiectele si desi sunt folosite pentru grupurarea obiectelor, ele
nu sunt grupuri in sine. Nu se pot da setari de securitate pe OU-uri cum am face-o pe utilizatori sau
grupuri. Acest tip de permisii  se pot da doar pe utilizatori sau  grupuri si  care sunt denumite si Security
Principals. OU-urile sunt folosite pentru a crea o structura ierarhica prin gruparea obiectelor si apoi
asignarea de politici pe OU-uri pentru control si configurare.
Dintre beneficiile OU-urilor amintim:
-          Cea mai mica unitate pe care se pot sta permisii de director( atentie nu folder), de administrare;
-          Se poate schimba structura foarte usor si sunt mult mai flexibile decat structura de domeniu
-          Organizarea OU-urilor poate avea mai multe niveluri de ierarhie
-          OU-rile copil pot mosteni setari de la parinti.
-          Se pot seta politici de grup la nivel de OU
-          Se poate delega foarte usor controlul pentru administrarea obiectelor.

5.2 Planificarea structurii de Unitati Organizationale

Cand planificam structura de OU-uri este bine sa se identifice o structura existenta in functi e care ne
vom orienta. Spre exemplu, o companie ar putea sa isi seteze OU-urile dupa departamentele sale, sau
dupa numarul de branch-uri existente sau oricare alt criteriu logic ce ar putea ajuta la impartirea
organizatorica a domeniului nostru.
Odata stabilita aceasta relatie, este important de avut in vedere urmatoarele aspecte:
1.       Numele si descrierea trebuie sa ramana simple. Este important ca numele sa ramana simple dar
descriptive si trebuie gasit un balans intre cele doua.
2.       Trebuie tinut cont de limitari. Numarul maxim de caractere este 64.Trebuie retinut ca un OU nu
trebuie sa aiba denumirea unica in toata structura, ci doar pe acelasi nivel ierarhic.
3.       Trebuie avut atentie la consistenta ierarhiei.
Crearea unei structuri ierarhice ne permite sa delegam spre control o parte din aceasta spre
administrare, spre exemplu suportului IT. In functie de marimea companiei, administrarea Active
Directory a acesteia s-ar putea sa devina o sarcina imposibila pentru un om si exista posibilitatea ca din
motive intemeiate sa existe un singur administrator. In aceste conditii, delegarea administrativa a unui
OU poate fi singura solutie. In momentul in care delegam controlul unui OU trebuie avut in vedere faptul
ca exista o relatie de mostenire intre OU-urile copil si cele parinte. Drept urmare setarile si politicile de
grup setate mai sus pe structura ierarhica vor fi mostenite si de catre OU-ul copil.
 Spuneam mai sus ca unui OU ii pot fi aplicate politici de grup. Politicile de grup reprezinta “reguli” ce
se aplica uniform si universal pe domeniul de aplicare. Ceea inseamna ca vom putea seta pentru
utilizatori:
-          Acelasi desktop;
-          Aceleasi drepturi de instalare si dezinstalare;
-          Aceleasi mapari ale resurselor din retea.

5.3 Crearea si managementul obiectelor din retea

La prima vedere a structurii Active Directory, aceasta seamana foarte mult cu folderele din Windows
Explorer. Aceste “foldere” sunt OU-urile descrise mai sus. Structura initiala contine:
1.       Built-In : acesta contine toate grupurile create automat la instalare
2.       Computers: acesta este OU-ul pentru calculatoare
3.       Domain Controllers: OU-ul pentru controloarele de domeniu
4.       Foreign Security-Principals: Acest container este pentru obiecte ce nu fac parte din domeniu dar
carora li se pot asigna drepturi de securitate.
5.       Managed Service Accounts: container creat special pentru servici specifice cum ar fi SQL si
Exchange
6.       Users: OU creat pentru utilizatorii de domeniu.
Am tot spus ca OU-urile reprezinta containere de obiecte. Aceste obiecte pot fi:
1.       Computere
2.       Contacte
3.       Groupuri ( de securitate sau distributie)
4.       OU-urile
5.       Printere
6.       Folere care au fost sharuite
7.       Utilizatori

5.4 Grupurile in Active Directory

Grupurile in Active Directory permit accesul la resurse in functie de autentificare. In functie de tipul
lor, grupurile pot fi :
1.       De securitate
2.       De distributie
Grupurile de securitate reprezinta grupuri carora li se pot asigna drepturi si permisiuni, spre exemplu
permisiuni NTFS pe un folder. Grupurile de securitate pot de asemenea sa primeasca mailuri.
Grupurile de distributie  reprezinta grupuri folosite numai pentru distribuirea mailului. Pe aceste nu
se pot seta permisii de securitate.
Dupa relevanta lor, grupurile pot fi :
1.       Domain Local Groups
2.       Global Groups
3.       Univers Groups
 Grupurile de domeniu locale  reprezinta grupuri ce vor ramane in domeniul in care au fost create.
Ele vor fi folosite pentru setari legate de un singur domeniu.
Grupurile de domeniu globale  reprezinta grupuri ce pot contine alte grupuri si conturi din domeniul
din care au fost create. Totodata, li se pot acorda permisii in orice domeniu din padure.
Grupurile universale pot contine grupuri si utilizatori din orice domeniu din arbore sau padure. Prin
aceste grupuri se pot da drepturi universale in orice arbore sau padure.
La crearea unui grup se foloseste urmatoarea strategie definita prin acronimul AGDLP care vine de la
1.       Accounts (trebuie create conturile)
2.       Global groups (conturile se pun in grupuri globale)
3.       Domain Local groups (grupurile globale se pun in grupuri de domeniu)
4.       Permissions ( se acorda permisiuni pe domeniile locale).