סוגי קבוצות
בס"ד
קבוצות
דבר ידוע הוא שכאשר נרצה לתת אישור למשתמש מסוים להיכנס לקובץ כלשהו, נלך אל ה-Security Tab של אותו הקובץ ונוסיף שם את המשתמש. אבל מה נעשה כשנרצה לתת אישורים למאה משתמשים? כדי לפתור את הבעיה הטכנית הזאת קיימים אובייקטים שנקראים קבוצות. המטרה של קבוצה היא להכיל מספר רב של משתמשים, כדי שכאשר ניתן אישור לקבוצה, האישור יחול למעשה על כל המשתמשים של הקבוצה. ישנו סוג מסוים של קבוצות שנועדו למטרה אחרת, והן נקראות: Distribution Group. הסוג הנ"ל לא נועד לטובת מתן הרשאות, אלא כדי לשלוח מייל לכמות גדולה של נמענים במכה אחת. אנו נתעסק בשיעור הזה בסוג הקבוצות שכן אפשר להשתמש בהן לטובת מתן הרשאות. קבוצה שכזאת נקראת Security Groups.
בטרם ניכנס לעומק של ניהול קבוצות, נבחין שלכל קבוצה יש שני דברים עיקריים שמייחדים אותה. הדבר הראשון הוא החברים שבקבוצה. מובן הוא שבכל קבוצה אפשר להגדיר חברים אחרים. הדבר השני הוא הקבצים שניתן לרשום ב-Security Tab שלהם את הקבוצה. בואו נתבונן בדבר השני שוב. למה הכוונה? הרי אם אני פותח את ה-Security Tab של קובץ מסויים, אני יכול להוסיף לשם כל קבוצה שאבחר, אז מה זאת אומרת "קבצים שניתן לרשום ב-Security Tab שלהם את הקבוצה"? האם יש קבצים שב-Security Tab שלהם לא אוכל לרשום את הקבוצה? התשובה שבתוך אותו הדומיין תמיד נוכל לרשום כל קבוצה שנבחר, ללא שום חילוק. השלה היא מה קורה בין דומיינים שונים.
וניתן דוגמא. נניח יש לנו בתוך ה-Forest את הדומיין: Google.com ואת תת הדומיין שלו: dev.google.com. עכשיו נשאל: אם אני אפתח קובץ בדומיין: Google.com – אני אוכל לרשום ב-Security Tab שלו משתמשים מתת הדומיין: dev.google.com? המציאות היא שיש קבוצות שמאפשרות זאת ויש קבוצות שלא.
כדי להבהיר את הדבר נדמיין לרגע שיש לנו בעולם פנס מיוחד שנקרא Scope והפנס הזה נמכר בשני דגמים. יש דגם שנקרא: Domain Local ובדגם הזה האור שלו חלק יחסית, ויש דגם שנקרא: Global ושם האור שלו חזק. אבל הפנס הזה לא נמכר לאנשים, הוא נמכר לקבוצות, וכל קבוצה חייבת שיהיה לה פנס שכזה. אם הפנס (ה-Scope) של הקבוצה מאיר באור חלש (דגם Domain Local), אז לא "יראו" את הקבוצה מדומיינים אחרים, ולכן לא נוכל להוסיף אותה ל-Security Tab של קבצים שם. הרי פשוט לא "רואים" אותה משם. אבל אם לקבוצה יש Global Scope אז רואים אותה גם רואים ואפשר לצרף אותה ל-Security Tab של קבצים בדומיינים אחרים.
השם של הקבוצה נקבע על פי ה-Scope שלה. למשל, קבוצה עם Scope של Domain Local (אור חלש), תיקרא: Domain Local Group, או בקיצור: DL. קבוצה עם Scope של Global תיקרא: Global Scope, או בקיצור: G. נסכם:
- Domain Local Group נראית רק התוך הדומיין בו היא נמצאת. בשביל דומיינים אחרים היא בלתי נראית לחלוטין. ולכן, לא ניתן לרשום אותה בשום פנים ואופן ב-Security Tab של קבצים שממוקמים בדומיינים אחרים.
- Global Group כן נראית בדומיינים אחרים, ולכן ניתן לרשום אותה בהחלט ב-Security Tab של קבצים שממוקמים בדומיינים אחרים.
אבל האם המשתמשים החברים בקבוצה יכולים להיות מדומיינים אחרים? כרגע ניתן תשובה טכנית למדיי ובהמשך חתברר ההגיון שבה. נניח שגם החברים שבקבוצה מיוצגים על ידי פנס בשם Members, כאשר גם כאן כל קבוצה מחוייבת לקבל פנס שכזה. הדבר המעניין הוא שהפנס הזה הוא הפוך לגמרי בכוונה מהפנס Scope. למשל, אם ה-Scope הוא: Domain Local, אז הפנס של Members הוא דווקא Global. זאת אומרת ניתן יהיה לצרף חברים לקבוצה מדומיינים אחרים. אבל אם הפנס של ה-Scope הוא: Global, אז הפנס של Members הוא דווקא Domain Local. זאת אומרת, לא ניתן יהיה לצרף לקבוצה חברים מדומיינים אחרים.
נשים לב שיש Scope שלישי ומיוחד שנקרא Universal. ב-Scope הזה מתנהג כמו Global Scope, אבל החידוש הוא שניתן לצרף אליו חברים גם מדומיינים אחרים. קבוצה שכזאת תיקרא בקיצור: U Group.
נסכם בטבלה את כל המידע עד כאן:
| Members | Add to Security Tab | Scope |
| All the Forest | My Domain Only | Domain Local (DL) |
| My Domain Only | All the Forest | Global (G) |
| All the Forest | All the Forest | Universal (U) |
כאשר ניצור קבוצה חדשה נוכל לקבוע מהו ה-Scope שלה. כמו-כן, נוכל לקבוע האם מדובר ב-Distribution Group או ב-Security Group. להזכירכם, אנו עוסקים כאן ב-Security Groups.
קבוצות בתוך קבוצות:
ניתן בקלות לשים קבוצה בתוך קבוצה, ובפרט שהיא לא תחרוג מכלל ה"אגודל". מהו כלל ה"אגודל"? הוא נראה כך: A -> G -> U -> DL. האות A היא בעבור המשתמשים עצמם (Accounts). הכלל הוא פשוט: תעשו מה שתרצו, רק אל תשברו את האגודל. למשל, משתמשים יכולים להיות בתוך G Group. משתמשים גם יכולים להיות בתוך U Group. אמנם יש כאן "קפיצה" ברצף אבל זה בכיוון של האגודל, אז זה בסדר. קבוצה G יכולה להיות בתוך קבוצה DL, אבל קבוצה DL לא יכולה להיות בתוך קבוצה G. הבנתם את הרעיון? כמו-כן, קבוצה יכולה להיות בתוך קבוצה נוספת מאותו ה-Scope, למשל אין בעיה לקבוצה DL להיות בתוך קבוצה DL וכו'.
ניתן לשנות את ה-Scope של הקבוצה גם לאחר שיצרנו אותה, רק שיש לשים לב לשתי הגבלות:
הגבלה טכנית קטנה – העברת ה-Scope צריכה להיות ללא קפיצה. זאת אומרת, כדי להפוך G Group ל-DL Group יש להפוך את הקבוצה בשלב ביניים ל-U Group ולהיפך.
יש לשים לב שאם כבר קיימות קבוצות בתוך קבוצות, אסור שיישבר האגודל!
אסטרטגיות קבוצות:
נבחין בשלושה דרכים בהן מהנדסי רשת נוטים לארגן את הקבוצות בארגון, ואלו הן:
A -> G <- P
אנו כבר יודעים שהאות "A" מסמלת את המשתמשים (Accounts), והאות "G" מסמלת Global Group. אבל מה מסמלת האות "P"? האות "P" מייצגת את ההרשאות עצמן.
להלן דוגמא לשימוש באסטרטגיה הנ"ל: כל עובדי המכירות יימצאו ב - Global Group בשם sales: וכשנרצה לתת לקבוצת sales הרשאות לקובץ מסויים, פשוט ניגש אליו ונוסיף את קבוצת Sales ב-Security Tab.
שימו לב שהאסטרטגיה הנ"ל היא מאוד פשוטה ולא כוללת רעיונות מתקדמים, כגון קבוצות בתוך קבוצות וכו'.
עקב הפשטות של האסטרטגיה, לרוב נשתמש בה דווקא כשיש בידינו רק דומיין אחד.
A -> G -> DL <- P
באסטרטגיה הנ"ל הקבוצות הגלובליות יימצאו בתוך קבוצות עם Scope של Domain Local. לשם מה צריך אסטרטגיה שכזאת?
ראשית נגלה שהשימוש באסטרטגיה הנ"ל יהיה לרוב בסביבה בהיש כמה דומיינים. אנחנו לא מדברים דווקא על חברת ענק, אבל בוודאי שמדובר בחברה גדולה.
הרעין הוא כדלקמן. נניח ואנחנו רוצים לאסוף את אנשי המכירות מכל הדומיינים ולתת להם גישה לקובץ שנמצא בדומיין מסויים. מה נעשה? הרעין הוא שקבוצה גלובאלית "תאסוף" את המשתמשים מכל דומיין ודומיין - ואת כל הקבוצות הגלובאליות נכניס לתוך קבוצת DL שממוקמת באותו הדומיין בו נמצא הקובץ המדובר.
ניתן את ההרשאות לקבוצת ה-DL, וכך השגנו מציאות שבה כל משתמשי המכירות מהארגון מקבלים גישה לקובץ.
A -> G -> U -> DL <- P
באסטרטגיה הנ"ל הקבוצות הגלובאליות יוכנסו לתוך קבוצות אוניברסאליות. הקבוצות האוניברסאליות יוכנסו לתוך קבוצות DL. ההרשאות יינתנו לקבוצת ה-DL.
באופן עקרוני הרעין הוא זהה לאסטרטגיה הקודמת. השאלה היא למה אנחנו מוסיפים עוד רמה של קבוצת U?
כדי לענות על השאלה נגדיר שהאסטרטגיה הנ"ל נועדה בעבור חברות ענק שלהן יש מספר גדול מאוד של קבוצות.
שימו לב לרעיון המבריק הזה! כשם שכדי לתת הרשאה בבת אחת להרבה משתמשים יצרנו קבוצה - כך כשיש הרבה קבוצות וצריך לתת הרשאה לכולן אנו ניצור U Group ונשים את ה - Global Groups בתוכה.
מי שמעוניין להעמיק, הייתי מציע לכתוב תסריט לשימוש בכל אחת מהאסטרטגיות, כולל סרטוט של מבנה החברה (מבחינת דומיינים, מיקום המשתמשים והקבוצות, וכו').
כמו-כן, מטעמי אבטחה (וזה יוזכר בשיעורים הבאים), נוטים כמעט לשים את כל ה-U Groups (אם יש) ב-Forest Root.
פרקי ההרצאה: סוגי קבוצות
תמלול ההרצאה: סוגי קבוצות
הטקסט המלא של הדקות הראשונות בהרצאה «סוגי קבוצות» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
בסרטון שלפנינו אנחנו נלמד יותר לעומק על השימוש באובייקט מסוג Groups מסוג Group מסוג קבוצה באקטיב דירקטורי של Windows 2008. חשוב לי מאוד לציין שמי מכם שלא ראה את הסרטונים הקודמים שמדברים על קבוצות באקטיב דירקטורי ועל השימוש הבסיסי בקבוצה חשוב מאוד שיראה את הסרטונים האלה.
כאן בסרטון הזה אנחנו נכנסים יותר לעומק של סוגי קבוצות טווחים של קבוצות איך להשתמש בקבוצות באופן ובאופן נכון באקטיב דירקטורי של Windows 2008. אז שוב פעם, אני ממליץ לראות את הסרטון הקודם על Groups.
אז כאשר אנחנו באים ליצור קבוצה אנחנו צריכים להבין שיש שני סוגים של קבוצות. Two Group Types. אני כשאני יוצר את הקבוצה אני יכול להחליט שהקבוצה תהיה מסוג Security או מסוג Distribution.
שימו לב כאן לפניכם הנה אני בא ליצור קבוצה מצד ימין יש לי את הסוג של הקבוצה שאני צריך להחליט עליו בין אם הוא סקיוריטי וביניהם דיסטריביושן. מה ההבדל ביניהם בעצם?
על מה אנחנו מדברים? אנחנו מדברים על זה שהקבוצה מסוג דיסטריביושן נועדה לארגן חשבונות משתמשים עם מכנה משותף לטובת מה? לטובת סדר ולטובת שליחת אימיילים לאותה קבוצה.
זה השימוש של קבוצה מסוג דיסטריביושן. לא ניתן להכיל הרשאות על קבוצה מהסוג הזה. לעומת הדיסטריביושן אני יכול ליצור קבוצה מסוג סקיוריטי.
אם הקבוצה היא מסוג סקיוריטי, אני יכול כן לתת על הקבוצה הזו הרשאות בעתיד על מדפסת, על שיתוף, על קבצים, על איזשהו משאב ברשת ולא רק, אני גם יכול לשלוח אימייל לאותה קבוצה.
כלומר קבוצה מסוג Distribution זה אך ורק לטובת אימיילים וארגון המשתמשים, קבוצה מסוג Security מאפשרת לי גם ארגון משתמשים, גם מתן הרשאות וגם שליחת אימיילים.
אתם בטח שואלים מה אני צריך את הקבוצה Distribution אם Security עושה עבורי את הכל. חשוב להבין שאנחנו צריכים באקטיב דירקטורי לפעמים אובייקט שיהיה dedicated למשימה מסוימת לטובת סדר וניקיון.
לכן השימוש הזה הוא מאוד מאוד חשוב ואתם תשתמשו לא מעט בקבוצות Distribution וקבוצות Security שוב פעם למען הסדר הטוב כמו שאומרים.
אז בואו נראה על מה אני בעצם מדבר. אז קודם כל לפנינו שוב פעם איך אנחנו מגדירים את זה באקטיב דירקטורי ובואו נראה קצת אנימציה של מה הרעיון מאחורי Distribution Group.
אז אם בחרתי לעשות את הקבוצה כ-distribution אני מבין שהשימוש בה הוא לטובת ארגון משתמשים ולטובת שליחת אימיילים. הכנסתי את כל המשתמשים פנימה ועכשיו אני יכול לשלוח אימייל למשל לקבוצה, מה שבעצם יעשה, מה שיקרה בעצם זה שהאימייל יגיע לכל המשתמשים ששייכים לאותה קבוצה.
לעומת קבוצה מסוג distribution, קבוצה מסוג security, תראו איך זה נראה, אני יוצר את הקבוצה מסוג security, להכניס את המשתמשים לתוך הקבוצה.
אני גם יכול לשלוח אימייל אם אני רוצה, אבל גם ניתן לתת הרשאות על מדפסת, על שיתוף וכן הלאה לאותה קבוצה. כלומר, אנחנו מבינים שקבוצה מסוג Security שונה מקבוצה מסוג Distribution בזה שיש הרבה יותר אפשרויות על הקבוצה, אני יכול לתת הרשאות על הקבוצה.
מאוד מאוד חשוב להבין את הרעיון הזה. אם אנחנו נחזור אחורה ונחזור לשקופית הראשונה, חשוב לי לדבר גם על הנושא של הטווחים, של הסקופים של הקבוצה.
כאשר יצרתי קבוצה, בין אם היא Distribution בין אם היא Security, עכשיו אני צריך להחליט האם אני רוצה שהקבוצה הזאת תהיה עם טווח גלובל או עם טווח לוקאל או עם טווח יוניברסל.
כלומר, ישנם שלושה סקופים, שלושה טווחים שאני יכול לבחור לקבוצה, או גלובל או לוקאל או יוניברסל. דרך אגב, אם אתם שואלים את עצמכם עוד לגבי הנושא של סוגי הקבוצות, once הגדרתי קבוצה כ-distribution האם אני יכול לשנות אותה ל-Security וההפך?
אז כן, אין שום בעיה. כך גם לגבי הטווחים ארגנתם קבוצה בטווח מסוים? יצרתם קבוצה עם טווח מסוים? אין שום בעיה לשנות את הטווח אחרי זה.
אבל חשוב מאוד לזכור שאם במידה שיניתם קבוצה מ-Security ל-Distribution והקבוצה הזו הייתה עם משתמשים שהיו עליה הרשאות בכל מיני משאבים כל ההרשאות ייעלמו.
לכן חשוב מאוד כשאתם מבצעים פעולה כזו לחשוב טוב טוב, זה אפשרי אבל צריך לחשוב טוב טוב כפי שאתם עושים את זה. אז לגבי נושא של Distribution ו-Security הבנו את הרעיון.
מה לגבי סקופים? מה נותן לי קבוצה מטווח גלובל או קבוצה עם סקופ לוקאל או אוניברסל? מה הרעיון שעומד מאחורי זה?
אז בואו נראה. קבוצה מסוג לוקאל, מה הרעיון של קבוצה מסוג לוקאל? חברים, קבוצה לוקאלית זו קבוצה שלא יכולה לצאת מהדומיין.
קבוצה לוקאלית - ההמלצה להשתמש בה היא על ידי הגדרת הרשאות עבור משאב as simple as that יש לנו את המשאב למשל מדפסת צבע יש לנו את השרת קבצים יש לנו תיקייה חשובה שמה תיקיית אקאונטינג מה נהוג לעשות?
עבור כל משאב עבור כל תיקייה משותפת עבור כל משאב שיש לי ברשת כדאי וצריך ליצור קבוצה לוקאלית למשל עבור המדפסת אני יוצר קבוצה לוקאלית שקראתי לה Color Printer Full ואני אתן על הקבוצה הזאתי פול קונטרול.
אני אצור עוד קבוצה לוקאלית. אני אקרא לה Color Printer Print Only. רק הדפסה, אני אתן עליה הרשאות, רק הדפסה. שימו לב. אני יוצר את הקבוצה הזאתי ואין בה אף אחד, אין בה משתמשים, אין בה כלום.
אני רק מגדיר אותה לטובת המשאב באותו דומיין. שוב פעם, גם לגבי שרת הקבצים. יש לי תיקייה, אקאונטינג.
אני אצור קבוצה לוקאלית אני אקרא לה אקאונטינג רייט אני אצור קבוצה נוספת אני אקרא לה אקאונטינג ריד ואני אתן הרשאות בהתאם על אותן קבוצות על האקאונטינג רייט אני אתן הרשאות רייט על האקאונטינג ריד אני אתן הרשאות ריד חבר'ה אין לכם מושג כמה שהפעולה הזאתי הבסיסית תקל עליכם את הניהול בהמשך החיים של
המדפסת של האובייקט הזה בצורה בלתי רגילה אנחנו יוצרים משאב אנחנו מיד יוצרים עבורו קבוצות לוקאליות עם הרשאות ספציפיות – רק read, read&write, רק modify, full control וכן הלאה בהתאם לה, כנראה לדרישות העתידיות שלנו.
קבוצה לוקאל לא יכולה לנוע ולהיות חברה בקבוצות אחרות מחוץ לדומיינג. מה לגבי קבוצה מסוג גלובל? מה הרעיון של קבוצה גלובל?
קבוצה גלובל נועדה קודם כל בבסיס לקבץ לתוכה משתמשים עם מכנה משותף. למשל כל אנשי המכירות, כל הסיילס פרסונל, ליצור להם קבוצה גלובלית סיילס פרסונל.
כל המנג'רס סיילס מנג'רס. כל הסיסטם IT אדמין, בקיצור קבוצה גלובלית בבסיס שלה נועדה לאחד בתוכה משתמשים עם מכנה משותף ואז מה שימו לב הנה הקבוצה למשל סיילס פרסונל שלי שקיבצתי בתוכה את כל אנשי המכירות וכשאני אחליט אני אוכל להכניס את הקבוצה הזאת לתוך קבוצת הלוקאל Color Printer Print, כי אני מעוניין שלכל אנשי המכירות
תהיה הרשאת הדפסה על המדפסת צבע החדשה שקנינו. שימו לב, תראו כמה זה פשוט. מראש כבר יש לי את הקבוצה לוקאל. כאשר אני רוצה שקבוצת הגלובל של אנשי המכירות יוכלו להדפיס, אני פשוט מוסיף אותם לקבוצה לוקאל.
לא צריך להסתבך עם הרשאות באותו רגע, לא צריך לחשוב יותר מדי. התבנית, התשתית מוכנה לניהול. אז הקבוצות לוקאל כבר קיימות.
כשאני עובד עם הקבוצה גלובל, אני פשוט מכניס אותה לתוך קבוצת הלוקאל. אז לזכור, קבוצות גלובל נכנסות לתוך קבוצות לוקאל, קבוצות הלוקאל מקבלות הרשאות על משאב, וזה מחלחל לקבוצות הגלובל ומחלחל למשתמשים, אוקיי?
אם תרצו, יש לנו את ה-accounts שמכניסים לתוך גלובל, את הגלובל לתוך לוקאל, ועל ה-Local מגדירים הרשאות.
הנה אם אני יכול להחליט אם אני רוצה, אני עכשיו גם רוצה שאנשי המכירות יוכלו לקרוא דוחות של אקאונטינג. אין שום בעיה, אני פשוט מוסיף את הקבוצה לתוך קבוצת ה-Local "Accounting Read".
חברים, מה שאתם רואים עכשיו, ככה מנהלים Active Directory. ככל שתכינו את התשתית בצורה נבונה ונכונה יותר, הניהול היומיומי יהיה קליל ביותר ויוכלו אפילו לבצע אותו עבורכם אנשי ה-Help Desk.
קבוצות לוקל נועדו לשמש עם הרשאות מול משאבים, הן לא קבוצות ניידות, הן נשארות רק באותו דומה. קבוצות גלובל נועדו להחזיק בתוכן משתמשים.
קבוצת הגלובל אנחנו בדרך כלל נכניס אותה לתוך קבוצות לוקל עם הרשאות עליהן. דרך אגב, ניתן גם לתת הרשאות על קבוצות הגלובל ולפעמים עושים את זה, אבל עדיף לעבוד נכון, את קבוצות הגלובל נכניס לקבוצת לוקל שכבר יש עליה הרשאות.
דרך אגב, קבוצת לוקאל יכולה להכיל כמה קבוצות גלובל ואפילו משתמשים פרטנים. יותר מזה, קבוצת גלובל כמו שראיתם יכולה להיות בתוך כמה קבוצות לוקאנד.
ויותר מזה, קבוצת גלובל גם יכולה להיות שייכת או יכולה להיות בתוך קבוצת לוקאנד בדומיין אחר באותו forest. אז אקאונטס נכניס לתוך גלובל כי יש להם מכנה משותף, למשל SalesPersonal מבעוד מועד יצרנו קבוצות לוקאל עבור משאבים.
הגדרנו הרשאות כאלה ואחרות על אותן קבוצות לוקאל. וכשיגיע הרגע אני פשוט לוקח את קבוצת הגלובל ומכניס אותה לקבוצת לוקאל עם הרשאה מסוימת. לוקח את קבוצת הגלובל לתוך הלוקאל.
שוב פעם, אקאונטס לתוך גלובל, מכנה משותף. כאשר נחליט, קבוצת הגלובל של אותם אנשי מכירות נכניס לקבוצות הלוקאל עם ההרשאות השונות.
אפילו בדומיינים אחרים. קבוצת גלובל יודעת להיות ניידת, יכולה לנוע בדומיינים השונים ב-Forest. קבוצת לוקאל לא יכולה לנוע מתוך הדומיין, לכן אנחנו נשתמש בה על משאבים בתוך אותו דומיין.
אקאונטס עדיף תמיד שיהיו בתוך קבוצה כאשר הם מקבלים הרשאות, כי אם לא אנחנו נאבד את הרגליים ואת הידיים. לא מומלץ לתת הרשאות למשתמשים פרטניים. זה אפשרי?
לא מומלץ. מה לגבי קבוצה מסוג Universal? או זה כבר סיפור אחר. שימו לב חברים יוניברסל זה קבוצה שזכתה בכל קבוצת יוניברסל יכולה לעשות מה שאתם רוצים קבוצת יוניברסל יכולה הנה אתם יכולים לראות בדומיין מסוים יכולה לנוע מדומיין לדומיין יכולה לקבל הרשאות מדומיין לדומיין יכולה שימו לב לתשתית שלי פה יש לי את הפרקטיקיו נקודה
לוקאל זה הרוט דומיין תחתיו יש לי צ'יילד דומיין דרום נקודה פרקטיקיו למשל שלנו בדרום וקבוצת יוניברסל יכולה לנוע, יכולה לקבל הרשאות על כל משאב על פני כל הטווח של הפורסט, יכולה להכיל קבוצות אחרות, יכולה להיכנס לקבוצות אחרות.
קבוצת יוניברסל אפשר לעשות איתה כל מה שרוצים. אז כמובן שכרגע עולה שוב פעם השאלה אם קבוצת יוניברסל עושה הכל למה למה אני צריך קבוצת יוניברסיטה? למה אני צריך לוקאל וגלובל?
שוב פעם, סדר וניקיון, אבל לא רק, אבל סדר וניקיון. אני צריך קבוצות שיהוו עבורי את התנועה, את השימוש הנכון ברשת שלי, של האובייקטים. ותחשבו על ההיגיון מאחורי זה.
יש לי מדפסת בדומיין A. אני מראש יודע מה אני רוצה שיקרה על המדפסת הזאת. יוכלו להדפיס אליה, יוכלו לנהל אותה, יוכלו רק לראות מה יש בה. אז אני מראש יוצר ברמה לוקאלית, אין למדפסת הזאת מה לעבור לדומיין אחר.
אני מראש יוצר עבורה קבוצה לוקאל, דומיין לוקאל. אותו דבר לגבי קבוצת גלובל. יכול מאוד להיות שאנשי הגלובל, אנשי המכירות שלי, יצטרכו גם להדפיס בדומיין אחר, כי הם הולכים מסניף לסניף.
הגיוני מאוד לתת להם קבוצת גלובל ולשים אותם גם על המדפסת צבע בתל אביב וגם על המדפסת צבע בבאר שבע. ולפעמים יכול מאוד להיות שאנשי מכירות שלי, לא רק שהם נעים מדומיין לדומיין, הם גם עובדים בדומיינים השונים.
ואז אני רוצה שתהיה להם אפשרות ממש גמישות מלאה. אז אולי באמת כדאי לשים אותם תחת קבוצת Universal, כי הם מאוד ניידים.
עדיין השימוש בקבוצת Universal הוא לא תמיד הכי מומלץ בצורה מסיבית. הסיבה היא יותר מהעבר. מה שקורה זה שכדי שיוזר מנסה לגשת למשל, הרי יש בדיקה באקטיב דירקטורי האם הוא רשאי או לא רשאי.
Universal Groups נבדקות מול הגלובל קטלוג, ואם הגלובל קטלוג, השרת שהוא מחזיק את הגלובל קטלוג יושב רחוק מהסניף שלנו, כל התנועות הזאת, אם יהיו הרבה תנועות של Universal יהיו הרבה בדיקות מול הגלובל קטלוג שנמצא בסניף מרוחק,