Grupa domenowa

Grupa domenowa to zbiór kont użytkowników zarządzanych wspólnie w ramach usługi katalogowej organizacji.

Rola grupy domenowej w usłudze katalogowej

Grupa domenowa to obiekt katalogowy, który przechowuje odwołania do kont użytkowników, komputerów albo innych grup. W środowisku Microsoft Active Directory Domain Services członkostwo w grupie pozwala przypisać wielu kontom wspólny zestaw uprawnień lub zastosować wobec nich wspólne ustawienia. Grupa nie jest drugim kontem użytkownika i nie przechowuje osobnego hasła służącego do logowania. Podczas uwierzytelniania system ustala, do jakich grup należy zalogowane konto, a następnie wykorzystuje tę informację przy sprawdzaniu dostępu do zasobów.

Przykładowa grupa może obejmować osoby pracujące w dziale księgowości, administratorów określonego systemu albo użytkowników korzystających z konkretnego udziału sieciowego. Zamiast nadawać uprawnienia każdemu kontu osobno, administrator przypisuje je grupie, a użytkowników dodaje lub usuwa z jej członkostwa. Dzięki temu zmiana stanowiska pracownika może wymagać przede wszystkim aktualizacji członkostwa w odpowiednich grupach, bez ręcznego przeglądania wszystkich zasobów dostępnych dla danego konta.

Typy, zakresy i członkostwo w Active Directory

W Active Directory grupy mają typ określający ich zastosowanie. Grupa zabezpieczeń może być używana przy kontroli dostępu do folderów, drukarek, udziałów sieciowych i innych obiektów, a także może służyć do przypisywania praw użytkownika. Grupa dystrybucyjna jest przeznaczona do obsługi list dystrybucyjnych w systemach pocztowych i nie służy jako mechanizm nadawania uprawnień do zasobów systemu Windows. Sam wygląd nazwy grupy nie rozstrzyga o jej przeznaczeniu; istotne są właściwości zapisane w katalogu.

Zakres grupy określa, gdzie może ona być używana i jakie obiekty mogą zostać jej członkami. Grupa globalna zwykle służy do łączenia użytkowników lub komputerów należących do jednej domeny. Grupa uniwersalna może obejmować członków z wielu domen tego samego lasu, natomiast grupa lokalna domeny jest często wykorzystywana do nadawania uprawnień do zasobów znajdujących się w danej domenie. W praktyce stosuje się także zagnieżdżanie grup, czyli dodawanie jednej grupy do drugiej, o ile zezwalają na to reguły dotyczące ich zakresów.

Jak grupa wpływa na dostęp do zasobów

Uprawnienia do zasobu systemu Windows mogą być przypisane bezpośrednio kontu albo grupie zabezpieczeń. Gdy użytkownik otwiera folder na serwerze plików lub korzysta z drukarki sieciowej, system porównuje jego token dostępu z listą kontroli dostępu obiektu. Token zawiera między innymi identyfikator konta oraz identyfikatory grup, do których konto należy. Jeżeli odpowiednia grupa znajduje się na liście ACL zasobu, użytkownik może otrzymać wynikające z tego uprawnienia, na przykład odczyt, zapis albo modyfikację.

Uprawnienia NTFS i uprawnienia udziału sieciowego są sprawdzane jako dwa niezależne poziomy dostępu. Przy korzystaniu z folderu udostępnionego przez SMB znaczenie ma kombinacja obu ustawień, dlatego samo dodanie użytkownika do grupy nie zawsze wystarcza do uzyskania oczekiwanego dostępu. Trzeba również uwzględnić członkostwo pośrednie w zagnieżdżonych grupach, ewentualne odmowy dostępu oraz czas potrzebny na odświeżenie informacji o członkostwie. Zmiana grupy może nie być widoczna w już otwartej sesji logowania, dopóki użytkownik nie zaloguje się ponownie.

Kontrola grup i diagnostyka problemów z członkostwem

Nieprawidłowe działanie grup domenowych często wynika z błędnego zakresu grupy, nieaktualnego członkostwa, zagnieżdżenia tworzącego nieczytelny model uprawnień albo przypisania praw niewłaściwemu obiektowi. Podstawową kontrolę można wykonać w narzędziu Active Directory Users and Computers, sprawdzając zakładkę członkostwa konta i właściwości grupy. W wierszu polecenia systemu Windows polecenie whoami /groups pokazuje grupy rozpoznane w bieżącej sesji, a gpresult /r pozwala sprawdzić między innymi zastosowane zasady grupy. Wyniki należy interpretować razem z konfiguracją konkretnego zasobu.

Przy analizie dostępu warto ustalić, czy problem dotyczy logowania do domeny, odczytu członkostwa, rozpoznawania nazwy grupy czy samej listy ACL. Należy też sprawdzić, czy komputer korzysta z właściwego DNS dla domeny oraz czy może skontaktować się z kontrolerem domeny. W środowiskach wykorzystujących Active Directory informacje katalogowe są udostępniane między innymi przez LDAP, a uwierzytelnianie domenowe może korzystać z Kerberos; awaria tych zależności może wyglądać jak problem z grupą, mimo że jej konfiguracja pozostaje poprawna. Diagnostyka powinna więc obejmować konto, grupę, zasób i komunikację z usługą katalogową.