Реферат: Адміністрування користувачів з використанням локальних і глобальних груп

Принтери;

Операційна система. По відношенню до цього типу об'єктів визначаються права з виконання різних сервісів і утиліт: вхід, архівування файлів, зміна конфігурації панелей Program Manager,...

Типи операцій доступу

Операції доступу - це дії об'єктів над суб'єктами. Операції можуть бути або дозволені, або заборонені, або взагалі не мати сенсу для даної пари об'єкта і суб'єкта.

Всі безліч операцій поділяється на підмножини, що мають особливі назви:

дозволу (permissions) - це безліч операцій, які можуть бути визначені для суб'єктів усіх типів по відношенню до об'єктів типу файл, каталог або принтер;

права (user rights) - визначаються для об'єктів типу група на виконання деяких системних операцій: створення резервних копій, вимикання комп'ютера (shutdown) і т.п. Права призначаються за допомогою User Manager for Domains;

можливості користувачів (user abilities) - визначаються для окремих користувачів на виконання дій, пов'язаних з формуванням їх операційного середовища, наприклад, зміна складу програмних груп, які показуються на екрані дисплея, включення нових ікон в Desktop, можливість використання команди Run і т.п.

Права та дозволи дані групі автоматично надаються її членам, дозволяючи адміністратору розглядати велику кількість користувачів як одиницю облікової інформації.

Можливості користувачів визначаються профілем користувача.

2. Локальні, глобальні і спеціальні групи

Windows NT Server використовує три типи груп: локальні, глобальні і спеціальні. Кожен тип має своє призначення, можливості та обмеження.

Локальна група може визначатися для домену або для комп'ютера. Локальні групи дають користувачам права та дозволи на ресурси того комп'ютера (або сайти), де зберігається облікова інформація локальної групи. Доступ до ресурсів комп'ютера - Windows NT Workstation або Windows NT Server можуть бути визначені тільки для членів локальної групи цього комп'ютера, навіть якщо ці комп'ютери є членами домену. Наприклад, доступ до ресурсів сервера Windows NT Server 2 на малюнку 1 може бути визначений лише для користувачів, облікові дані яких зберігаються в SAM 2 цього комп'ютера.

Так як база SAM PDC копіюється на всі BDC домену, то користувачі, визначені в PDC, можуть мати права на ресурси як PDC, так і всіх BDC домену.

Доступ до ресурсів комп'ютера для користувачів домену забезпечується за рахунок механізму включення в локальну групу окремих користувачів домену і глобальних груп домену. Включені користувачі та групи отримують ті ж права доступу, що й інші члени цієї групи. Механізм включення глобальних груп в локальні є основним засобом централізованого адміністрування прав доступу в домені Windows NT.

Локальна група не може містити інші локальні групи. Тому в мережі, що використовує модель робочої групи немає можливості визначити на одному комп'ютері всіх користувачів мережі та надавати їм доступ до ресурсів інших комп'ютерів.

Рис. 1. Приклад глобальної групи

У будь-якому випадку локальна група об'єднує деяке число користувачів і глобальних груп, яким присвоюється загальне ім'я - ім'я локальної групи. Локальні групи можуть включати користувачів і глобальні групи не тільки цього домену, але і будь-яких довіряємо доменів.

Windows NT Workstation і Server підтримують кілька вбудованих локальних груп для виконання системних завдань. Адміністратор може створювати додаткові локальні групи для управління доступом до ресурсів. Вбудовані локальні групи діляться на дві категорії - адміністратори (Administrators), які мають всі права та дозволи на цей комп'ютер, і оператори, які мають обмежені права на виконання специфічних завдань. Для Windows NT Server є такі групи-оператори: оператори архівування (Backup Operator), реплікатори (Replicator), оператори сервера (Serevr Operator), принт-оператори (Print Operator) і оператори облікової інформації (Account Operator). Для Windows NT Workstation є тільки дві групи операторів - Backup Operators і Power Users.

Крім того, як на Windows NT Server, так і на Windows NT Workstation є вбудовані локальні групи Users - для звичайних користувачів, і Guests - для тимчасових користувачів, які не можуть мати профілю і повинні володіти мінімальними правами.

Для спрощення організації надання доступу користувачам з іншого домену в Windows NT введено поняття глобальної групи.

Глобальна група користувачів - це група, яка має ім'я і права, глобальні для всієї мережі, на відміну від локальних груп користувачів, які мають імена і права, дійсні тільки в межах одного домену. Адміністратор довіряючого домену може надавати доступ до ресурсів свого домену користувачам з глобальних груп тих доменів, яким довіряє даний домен. Глобальні групи можна включати до складу локальних груп користувачів ресурсного домену.

Глобальна група - це деяке число користувачів одного домену, які групуються під одним ім'ям. Глобальним групам можуть даватися права і вирішення шляхом включення їх в локальні групи, які вже мають необхідні права та дозволи. Глобальна група може містити тільки облікову інформацію користувачів з локальних облікових баз даних, вона не може містити локальні групи або інші глобальні групи.

Існує три типи вбудованих глобальних груп: адміністратор домену (Domain Admins), користувачі домену (Domain Users) і гості домену (Domain Guests). Ці групи з самого початку є членами локальних груп адміністраторів, користувачів і гостей відповідно.

Необхідно використовувати вбудовані групи там, де тільки це можливо. Рекомендується формувати групи в такій послідовності:

В обліковому домені необхідно створити користувачів і додати їх до глобальних групам.

Увімкнути глобальні групи до складу локальних груп ресурсних доменів.

Надати локальним групам необхідні права та дозволи.

Спеціальна група - використовується виключно Windows NT Server для системного доступу. Спеціальні групи не містять облікової інформації користувачів і груп. Адміністратори не можуть приписати користувачів до цих груп. Користувачі або належать до цих груп за замовчуванням (наприклад, кожен користувач є членом спеціальної групи Everyone), або вони стають ними в залежності від своєї мережевої активності.

Існує 4 типи спеціальних груп: