Polecenie net group zarządza grupami globalnymi w domenie Windows — dodaje, usuwa i wyświetla członków grup domenowych.
Zakres działania polecenia net group
net group jest poleceniem wiersza polecenia systemu Windows używanym do wyświetlania i modyfikowania informacji o grupach globalnych w domenie. Grupa globalna jest obiektem usługi Active Directory, którego członkami mogą być konta użytkowników oraz, zależnie od konfiguracji i reguł domeny, inne dozwolone obiekty katalogowe. Polecenie nie służy do zarządzania lokalnymi grupami zabezpieczeń komputera. Do tego celu stosuje się przede wszystkim net localgroup.
Podstawowa postać polecenia to net group. Bez dodatkowych parametrów wyświetlana jest lista grup dostępnych w bieżącej domenie. Nazwa domeny może zostać podana jawnie, a przełącznik /domain wskazuje, że operacja ma być wykonana względem kontrolera domeny zamiast lokalnego kontekstu komputera. W praktyce wynik zależy od tego, czy komputer jest członkiem domeny, czy użytkownik może skontaktować się z kontrolerem domeny oraz jakie uprawnienia ma użyte konto.
Wyświetlanie grup i ich członków
Aby sprawdzić informacje o konkretnej grupie globalnej, podaje się jej nazwę, na przykład net group Ksiegowosc /domain. Polecenie może zwrócić nazwę grupy, komentarz oraz listę członków. Nazwa musi odpowiadać obiektowi istniejącemu w domenie. Błąd w nazwie, brak połączenia z kontrolerem domeny albo niewłaściwy kontekst uwierzytelnienia mogą spowodować komunikat o nieodnalezieniu grupy lub niedostępności usługi domenowej.
Informacje zwrócone przez net group opisują bezpośrednie członkostwo zapisane dla wskazanej grupy. Nie należy utożsamiać tej listy z pełnym, efektywnym zestawem uprawnień użytkownika. Użytkownik może należeć bezpośrednio do jednej grupy, a pośrednio uzyskiwać członkostwo w kolejnych grupach przez zagnieżdżanie grup. Samo polecenie nie jest narzędziem do pełnej analizy tokenu dostępu ani do obliczania wszystkich uprawnień wynikających z zasad kontroli dostępu.
Do diagnostyki warto porównywać wynik dla kilku grup oraz sprawdzać, czy użyto przełącznika /domain. Bez niego administrator może odczytać dane z innego kontekstu niż oczekiwany. W środowisku z wieloma domenami lub relacjami zaufania sama krótka nazwa grupy może być niewystarczająca do jednoznacznego określenia obiektu. Istotne są wtedy nazwa domeny, użyte konto i kontroler, z którym nawiązano komunikację.
Dodawanie i usuwanie członków grupy
Członka można dodać do grupy za pomocą składni net group NazwaGrupy NazwaUzytkownika /add /domain. Usunięcie członka wykonuje się analogicznie, zastępując przełącznik /add przełącznikiem /delete. Operacja dotyczy członkostwa w konkretnej grupie, a nie utworzenia nowego konta użytkownika. Jeżeli użytkownik nie istnieje w domenie albo grupa nie jest dostępna w wybranym kontekście, polecenie zakończy się błędem.
Zmiana członkostwa w grupie jest operacją administracyjną. Konto wykonujące polecenie musi mieć uprawnienia pozwalające modyfikować obiekt grupy w Active Directory. Samo uruchomienie wiersza polecenia z podwyższonymi uprawnieniami lokalnymi nie gwarantuje prawa do zmiany grupy domenowej. Decydujące znaczenie mają uprawnienia katalogowe, przynależność do odpowiednich grup administracyjnych oraz delegowanie kontroli nad konkretną jednostką organizacyjną.
Przed użyciem przełącznika /delete należy zweryfikować nazwę grupy i konta, ponieważ skutkiem jest zmiana rzeczywistego członkostwa w domenie. Po wykonaniu operacji warto ponownie uruchomić polecenie odczytujące grupę i potwierdzić rezultat. Trzeba również uwzględnić, że już zalogowana sesja użytkownika może nadal korzystać z wcześniej utworzonego tokenu dostępu. Zmiana członkostwa nie musi natychmiast zmienić uprawnień procesów, które działają w istniejącej sesji.
Warunki poprawnego użycia w domenie Windows
net group korzysta z usług domenowych Windows, dlatego poprawne działanie wymaga dostępności odpowiedniego kontrolera domeny i prawidłowego rozpoznawania nazw. Problemy z DNS, synchronizacją czasu, połączeniem sieciowym, uwierzytelnieniem lub replikacją Active Directory mogą wyglądać jak błąd samego polecenia, choć przyczyna znajduje się w innej warstwie. Warto rozdzielić test odczytu informacji od testu zmiany członkostwa, ponieważ odczyt może być dozwolony dla szerszego grona użytkowników niż modyfikacja.
Podczas analizy komunikatu należy zachować pełną składnię użytej komendy, nazwę domeny, konto wykonujące operację i moment jej uruchomienia. Nie powinno się zastępować net group poleceniem dotyczącym lokalnych grup, jeżeli celem jest sprawdzenie członkostwa domenowego. Różnica między grupą globalną w domenie a lokalną grupą zabezpieczeń ma znaczenie dla zakresu członkostwa, sposobu rozwiązywania uprawnień i miejsca przechowywania obiektu. Diagnostyka powinna więc najpierw ustalić, czy problem dotyczy katalogu domenowego, komputera lokalnego, czy tylko bieżącej sesji użytkownika.
Przy awarii komputera uczestniczącego w domenie można sprawdzić, czy system poprawnie rozpoznaje domenę, czy użytkownik loguje się właściwym kontem oraz czy inne operacje odczytujące zasoby domenowe działają prawidłowo. Naprawa laptopa lub komputera PC może obejmować analizę konfiguracji systemu Windows, połączenia sieciowego i lokalnych symptomów wpływających na dostęp do zasobów domenowych. W przypadku zmian administracyjnych w katalogu konieczne jest jednak wykonywanie ich przez osobę posiadającą odpowiednie uprawnienia do zarządzania domeną.
