Als Hilfsadministrator können Sie mit DRA Gruppen verwalten und Gruppeneigenschaften ändern. Mithilfe von Gruppen können Sie einem definierten Satz Benutzerkonten spezifische Berechtigungen gewähren. Mit Gruppen können Sie steuern, auf welche Daten und Ressourcen ein Benutzerkonto in einer beliebigen Domäne zugreifen kann.
Sie können Gruppen beliebiger Art und beliebigen Umfangs verwalten. Beispielsweise ist es möglich, die Gruppen zu schachteln, sodass eine Gruppe Berechtigungen von einer anderen Gruppe erbt. Sie können die Gruppenmitgliedschaften auch effizient steuern, indem Sie Gruppen von verbürgten Domänen zu anderen Gruppen einer verwalteten Domäne hinzufügen und temporäre Gruppenzuweisungen verwalten.
Weitere Informationen zum Verwalten von Gruppen finden Sie in den folgenden Themen:
Dieser Abschnitt beschreibt das Verwalten von Gruppen über den Konto- und Ressourcenverwaltungsknoten der Delegierungs- und Konfigurationskonsole. Mit den entsprechenden Befugnissen können Sie verschiedene Gruppenverwaltungsaufgaben ausführen, zum Beispiel die Gruppenmitgliedschaften ändern. Wenn Sie mehrere Gruppen gleichzeitig auswählen, können Sie ausgewählte Aufgaben in einem Vorgang für mehrere Gruppen ausführen, beispielsweise Mitglieder löschen, verschieben oder zu einer Gruppe hinzufügen. Das Aufgabenmenü zeigt, welche Aufgaben verfügbar sind, wenn Sie eine oder mehrere Gruppen auswählen.
Sie können Benutzerkonten, Kontakte und Computer zu einer verwalteten Domäne hinzufügen.
HINWEIS:Diese Aufgabe fügt mehrere Konten zu einer ausgewählten Gruppe hinzu. Sie können ein einzelnes Konto zu einer Gruppe hinzufügen, indem Sie das entsprechende Konto auswählen und dann im Aufgabenmenü auf „Zu Gruppen hinzufügen“ klicken.
Wenn durch das Hinzufügen eines Kontos zu einer anderen Gruppe Ihre Befugnisse auf das Konto erweitert werden, lässt DRA das Hinzufügen des Kontos nicht zu.
Sie können Gruppen schachteln, indem Sie eine Gruppe zu einer anderen verwalteten Gruppe hinzufügen. Wenn eine Gruppe in einer anderen Gruppe geschachtelt ist, kann die untergeordnete Gruppe Berechtigungen von der übergeordneten Gruppe erben.
HINWEIS:Wenn durch das Hinzufügen einer Gruppe zu einer anderen Gruppe Ihre Befugnisse auf die ursprüngliche Gruppe erweitert werden, lässt DRA das Hinzufügen der Gruppe nicht zu.
Sie können die Eigenschaften lokaler und globaler Gruppen ändern. Ihre Befugnisse legen fest, welche Eigenschaften Sie für eine Gruppe in der verwalteten Domäne oder im verwalteten Teilbaum bearbeiten können. Wenn Sie Exchange installiert und die Microsoft Exchange-Unterstützung aktiviert haben, können Sie die Eigenschaften der Verteilerliste bei der Verwaltung der Gruppen ändern.
Sie können eine Gruppe in der verwalteten Domäne oder im verwalteten Teilbaum erstellen. Sie können auch die Eigenschaften einer neuen Gruppe bearbeiten, zum Beispiel die Mitglieder.
HINWEIS:
Möglicherweise wird in Ihrem Unternehmen eine Namenskonvention durch eine Richtlinie erzwungen, die festlegt, welchen Namen Sie der neuen Gruppe zuweisen dürfen.
Standardmäßig platziert DRA die neue Gruppe in die Organisationseinheit „Benutzer“ der verwalteten Domäne.
Sie können Benutzerkonten, Kontakte, Computer und andere Gruppen zur verwalteten Gruppe hinzufügen oder aus ihr entfernen. Fremdsicherheitsprinzipale können Sie in DRA nur entfernen. Sie können auch die Eigenschaften vorhandener Gruppenmitglieder (außer Fremdsicherheitsprinzipalen) anzeigen oder bearbeiten.
Wenn Sie Mitglieder aus einer Gruppe entfernen, löscht DRA die Objekte nicht. Wenn Sie Mitglieder zu einer Gruppe hinzufügen, benötigen Sie die Befugnis zum Ändern der Objekte, die Sie hinzufügen möchten.
HINWEIS:Sie können keine Benutzerkonten oder Gruppen zu einer der speziellen Windows-Gruppen hinzufügen (Administratoren, Kontenoperatoren, Sicherungsoperatoren, Serveroperatoren), es sei denn, Sie sind Windows-Administrator oder Mitglied der betreffenden spezifischen Gruppe.
Sie können Gruppen zu anderen Gruppen in der verwalteten Domäne oder im verwalteten Teilbaum hinzufügen oder aus ihnen entfernen. Sie können außerdem die Eigenschaften vorhandener Gruppen, zu denen die betreffende Gruppe gehört, anzeigen oder bearbeiten.
Sie können Active Directory-Sicherheitsberechtigungen für Gruppenmitgliedschaften festlegen. Diese Berechtigungen legen fest, wer die Gruppenmitgliedschaften mit Microsoft Outlook anzeigen (lesen) und wer sie bearbeiten (schreiben) kann. Mit diesen Einstellungen können Sie Verteilerlisten und Sicherheitsgruppen in Ihrer Umgebung effizienter absichern. Geerbte Sicherheitsberechtigungen können nicht geändert werden.
HINWEIS:Beim Verwalten der Gruppenmitgliedschaftssicherheit können deaktivierte Berechtigungen auf geerbte Berechtigungen hinweisen.
Sie können die Eigentümerschaft beliebiger Microsoft Windows-Verteilergruppen oder -Sicherheitsgruppen festlegen. Die Berechtigung der Gruppeneigentümerschaft kann einem Benutzerkonto, einer Gruppe oder einem Kontakt gewährt werden. Durch das Gewähren der Gruppeneigentümerschaft wird das festgelegte Benutzerkonto, die festgelegte Gruppe bzw. der festgelegte Kontakt berechtigt, die Mitgliedschaft der Gruppe zu ändern.
HINWEIS:DRA deaktiviert das Kontrollkästchen Manager kann die Mitgliedschaftsliste bearbeiten, wenn die Gruppenmitgliedschaft vom Microsoft Exchange-Server ausgeblendet ist. Um das Kontrollkästchen zu aktivieren, klicken Sie auf der Exchange-Registerkarte im Fenster der Gruppeneigenschaften auf Gruppenmitgliedschaft anzeigen.
Sie können lokale Gruppen und globale Gruppen in verwalteten Domänen klonen. Beim Klonen wird eine neue Gruppe des gleichen Typs und mit den gleichen Attributen wie die ursprüngliche Gruppe erstellt. DRA versucht außerdem, alle Mitglieder der ursprünglichen Gruppe zur neuen Gruppe hinzuzufügen.
Das Klonen von Gruppen ermöglicht ein schnelles Erstellen von Gruppen auf Grundlage anderer Gruppen mit ähnlichen Eigenschaften. Wenn Sie eine Gruppe klonen, füllt DRA den Assistenten „Gruppe klonen“ mit Werten aus der ausgewählten Gruppe aus. Sie können auch die Eigenschaften der neuen Gruppe bearbeiten.
HINWEIS:
Möglicherweise wird in Ihrem Unternehmen eine Namenskonvention durch eine Richtlinie erzwungen, die festlegt, welchen Namen Sie der neuen Gruppe zuweisen dürfen.
Standardmäßig platziert DRA die neue Gruppe in die Organisationseinheit „Benutzer“ der verwalteten Domäne.
Sie können sowohl lokale als auch globale Gruppen in der verwalteten Domäne oder im verwalteten Teilbaum löschen. Wenn der Papierkorb für die betreffende Domäne deaktiviert ist, wird die Gruppe beim Löschen dauerhaft aus Active Directory gelöscht. Wenn der Papierkorb für die betreffende Domäne aktiviert ist, wird die Gruppe beim Löschen in den Papierkorb verschoben und die Gruppeneigenschaften werden deaktiviert.
Weitere Informationen zum Papierkorb erhalten Sie unter Verwalten des Papierkorbs.
ACHTUNG:Wenn Sie eine neue Gruppe erstellen, weist Microsoft Windows der Gruppe eine Sicherheits-ID (SID) zu. Die SID wird nicht aus dem Gruppennamen erstellt. Microsoft Windows verwendet SIDs, um die Berechtigungen in Zugriffssteuerungslisten für jede Ressource aufzuzeichnen. Wenn Sie eine Gruppe löschen, können Sie ihre Zugriffsrechte nicht durch Erstellen einer Gruppe mit dem gleichen Namen wiederherstellen.
Sie können eine Gruppe in einen anderen Container, beispielsweise in eine Organisationseinheit, der verwalteten Domäne oder des verwalteten Teilbaums verschieben.
Sie können die Gruppenmitgliedschaft in Verteilerlisten für Gruppen der verwalteten Domäne oder des verwalteten Teilbaums anzeigen.
Sie können die Gruppenmitgliedschaft in Verteilerlisten für Gruppen der verwalteten Domäne oder des verwalteten Teilbaums ausblenden.
Mit temporären Gruppenzuweisungen können Sie Gruppenmitgliedschaften für Benutzer verwalten, die nur für einen bestimmten Zeitraum eine Gruppenmitgliedschaft benötigen. Dieser Abschnitt beschreibt das Verwalten temporärer Gruppenzuweisungen über die Konto- und Ressourcenverwaltung in der Delegierungs- und Konfigurationskonsole. Mit den entsprechenden Befugnissen können Sie Aufgaben wie das Erstellen temporärer Gruppenzuweisungen oder das Entfernen abgelaufener temporärer Gruppenzuweisungen ausführen.
Hilfsadministratoren können temporäre Gruppenzuweisungen nur für Gruppen anzeigen, für die der Hilfsadministrator über Befugnisse zum Hinzufügen oder Entfernen von Mitgliedern hat.
Während die temporäre Gruppenzuweisung den Status „Aktiv“ hat, können Sie nicht die zugeordnete Gruppe oder die Liste der Benutzer ändern. Wenn Sie diese Elemente ändern möchten, müssen Sie zuerst die temporäre Gruppenzuweisung abbrechen.
Sie können die Eigenschaften temporärer Gruppenzuweisungen oder gespeicherter, abgelaufener temporärer Gruppenzuweisungen verwalten.
Wenn Sie eine temporäre Gruppenzuweisung neu planen möchten, ändern Sie den Zeitplan in den Eigenschaften der Zuweisung (Properties) und speichern Sie Ihre Änderungen.
Sie können eine temporäre Gruppenzuweisung auf dem primären oder auf einem sekundären Verwaltungsserver erstellen.
Eine temporäre Gruppenzuweisung wird standardmäßig sieben Tage nach ihrem Ablauf gelöscht, es sei denn, Sie haben die Option Diese temporäre Gruppenzuweisung für die spätere Verwendung beibehalten aktiviert. Um diesen Beibehaltungszeitraum zu ändern, klicken Sie mit der rechten Maustaste auf den Knoten Temporary Group Assignment (Temporäre Gruppenzuweisung) unter „All My Managed Objects“ (Alle meine verwalteten Objekte), wählen Sie Properties (Eigenschaften) aus und ändern Sie die Anzahl der Tage, für die temporäre Gruppenzuweisungen beibehalten werden sollen.
Sie können Benutzerkonten auf dem primären oder auf einem sekundären Verwaltungsserver zu einer temporären Gruppenzuweisung hinzufügen oder aus ihr entfernen.
HINWEIS:Sie können Benutzerkonten nur für temporäre Gruppenzuweisungen verwalten, die noch nicht aktiv sind.
Sie können eine temporäre Gruppenzuweisung auf dem primären oder auf einem sekundären Verwaltungsserver löschen.
Mit temporären Gruppenzuweisungen können Sie Gruppenmitgliedschaften für Benutzer verwalten, die für einen bestimmten Zeitraum eine Gruppenmitgliedschaft benötigen. In der Webkonsole können Sie Zuweisungen vom primären oder von einem sekundären DRA-Verwaltungsserver erstellen und verwalten. Die Aktionen, die für eine vorhandene Zuweisung verfügbar sind, hängen jedoch vom Status der Zuweisung ab.
Hilfsadministratoren können temporäre Gruppenzuweisungen nur für Gruppen anzeigen, für die sie über Befugnisse zum Ändern der Aktivansichtzuweisungen verfügen, beispielsweise über Befugnisse zum Hinzufügen oder Entfernen von Gruppenmitgliedern.
Um temporäre Gruppenzuweisungen in der Webkonsole zu verwalten, wechseln Sie zu Aufgaben > Temporäre Gruppenzuweisungen.
Sie können die folgenden Aktionen ausführen:
Wenn Sie nach vorhandenen temporären Gruppenzuweisungen suchen, werden diese nach ihrem Status in den Ergebnissen aufgelistet. Folgende Status sind möglich:
Ausstehend: Die temporäre Gruppenzuweisung ist zur Ausführung zu einem späteren Zeitpunkt geplant. Sie können die Zuweisung abbrechen, löschen oder neu planen.
Aktiv: Die temporäre Gruppenzuweisung wurde gestartet und die betreffenden Mitglieder wurden zur Gruppe hinzugefügt. Sie können die Zuweisung abbrechen oder löschen.
Aktiv mit Fehler: Die temporäre Gruppenzuweisung wurde gestartet, es konnten aber nicht alle betreffenden Mitglieder zur Gruppe hinzugefügt werden. Sie können die Zuweisung abbrechen oder löschen.
Abgeschlossen: Die temporäre Gruppenzuweisung ist abgelaufen und alle betreffenden Mitglieder wurden aus der Gruppe entfernt. Sie können die Zuweisung löschen oder neu planen.
Mit Fehler abgeschlossen: Die temporäre Gruppenzuweisung ist abgelaufen, es konnten aber nicht alle betreffenden Mitglieder aus der Gruppe entfernt werden. Sie können die Zuweisung löschen oder neu planen.
Abgebrochen: Die temporäre Gruppenzuweisung wurde von einem Benutzer abgebrochen und alle betreffenden Mitglieder wurden aus der Gruppe entfernt. Sie können die Zuweisung löschen oder neu planen.
Mit Fehler abgebrochen: Die temporäre Gruppenzuweisung wurde von einem Benutzer abgebrochen, es konnten aber nicht alle betreffenden Mitglieder aus der Gruppe entfernt werden. Sie können die Zuweisung löschen oder neu planen.
Fehler: Die temporäre Gruppenzuweisung konnte nicht alle betreffenden Mitglieder zur Gruppe hinzufügen oder aus der Gruppe entfernen. Sie können die Zuweisung löschen oder neu planen.
Sie können die Ergebnisse nach diesen Status und nach anderen Kriterien filtern, zum Beispiel nach dem Namen der Zuweisung, der Zielgruppe, der Dauer oder dem Administrator, der die Zuweisung erstellt hat.
Sie können temporäre Gruppenzuweisungen für Gruppen erstellen, für die Sie über Änderungsbefugnisse und Befugnisse zum Angeben des Domänencontrollers haben. Eine abgelaufene temporäre Gruppenzuweisung wird in DRA nach sieben Tagen automatisch gelöscht, sofern Sie nicht die Option zum Beibehalten der temporären Gruppenzuweisung für die spätere Verwendung aktivieren.
Sie können beliebige Eigenschaften einer temporären Gruppenzuweisung, die beim Erstellen der temporären Gruppenzuweisung definiert wurden, anzeigen oder ändern. Wählen Sie nach dem Ausführen einer Suche nach temporären Gruppenzuweisungen eine Zuweisung aus, um ihre Eigenschaften anzuzeigen oder zu ändern.
Wenn Sie eine temporäre Gruppenzuweisung neu planen möchten, ändern Sie den Zeitplan in den Eigenschaften der Zuweisung (Properties) und speichern Sie Ihre Änderungen. Wenn die Zuweisung den Status „Aktiv“ hat, können Sie nur das Enddatum ändern.
WICHTIG:Während die temporäre Gruppenzuweisung den Status „Aktiv“ hat, können Sie nicht die zugeordnete Gruppe oder die Liste der Benutzer ändern. Wenn Sie diese Elemente ändern möchten, müssen Sie zuerst die Zuweisung abbrechen.
Sie können eine temporäre Gruppenzuweisung nur abbrechen, wenn sie sich in einem der folgenden Status befindet:
Aktiv
Aktiv mit Fehler
Ausstehend
Sie können mehrere temporäre Gruppenzuweisungen auswählen und dann löschen. Wenn die ausgewählten temporären Gruppenzuweisungen den Status „Aktiv“, „Aktiv mit Fehler“ oder „Ausstehend“ hat, ist die Option Abbrechen verfügbar.