Windows-Praxis: NTFS-Berechtigungen richtig einrichten

Gruppen im Active Directory anlegen

Die korrekte Rechtevergabe baut auf sauber gepflegte Gruppenmitgliedschaften auf. Im Zweifel sollten Sie also nochmals einen Blick auf die angelegten Benutzer und Gruppen werfen.

Um eine neue Gruppe anzulegen, öffnen Sie zuerst die Konsole Active Directory-Benutzer und -Computer. Klicken Sie mit der rechten Maustaste auf einen Ordner und wählen Sie Neu/Gruppe aus.

Nun müssen Sie der neuen Gruppe einen Namen geben und entscheiden, welchem Gruppentyp (Sicherheit oder Verteilung) und welchem Bereich (Lokal, Global oder Universell) sie angehören soll.

Damit Ressourcen im Netzwerk freigegeben und Berechtigungen gesetzt werden können, benötigt man zwingend eine Sicherheitsgruppe. Verteilergruppen sind nur dann interessant, wenn Sie einen Exchange-Server einsetzen und E-Mail-Verteiler anlegen müssen. Die Unterschiede zwischen den Gruppenbereichen werden nachfolgend aufgeführt.

Lokale Gruppen:

• Sie sind relevant für die Zuweisung von Berechtigungen.

• Benutzer können aus einer beliebigen Domäne hinzugefügt werden.

• Allerdings können Mitglieder der lokalen Gruppe nur auf Ressourcen zugreifen, die sich in der gleichen Domäne befinden wie die lokale Gruppe.

Globale Gruppen

• Sie sind relevant für die Organisation von Benutzern.

• Benutzer können nur aus der Domäne hinzugefügt werden, in der sie beheimatet sind.

• Mitglieder einer globalen Gruppe können auf Ressourcen einer beliebigen Domäne innerhalb einer Gesamtstruktur zugreifen.

Universelle Gruppen

• Sie sind relevant für die Zuweisung von Berechtigungen, die über die eigenen Domänen hinausgehen.

• Benutzer können aus einer beliebigen Domäne hinzugefügt werden.

• Mitglieder einer universellen Gruppe können auf Ressourcen einer beliebigen Domäne zugreifen, auch wenn sich diese nicht in der Gesamtstruktur befindet (zum Beispiel bei Unternehmen mit einer Vertrauensstellung).

Für unser Beispiel haben wir ausschließlich globale Sicherheitsgruppen verwendet.