Als Hilfsadministrator können Sie mit DRA Gruppen verwalten und Gruppeneigenschaften ändern. Mithilfe von Gruppen können Sie einem definierten Satz Benutzerkonten spezifische Berechtigungen gewähren. Mit Gruppen können Sie steuern, auf welche Daten und Ressourcen ein Benutzerkonto in einer beliebigen Domäne zugreifen kann.
Sie können Gruppen beliebiger Art und beliebigen Umfangs verwalten. Beispielsweise ist es möglich, die Gruppen zu schachteln, sodass eine Gruppe Berechtigungen von einer anderen Gruppe erbt. Sie können die Gruppenmitgliedschaften auch effizient steuern, indem Sie Gruppen von verbürgten Domänen zu anderen Gruppen einer verwalteten Domäne hinzufügen und temporäre Gruppenzuweisungen verwalten.
Dieser Abschnitt beschreibt die Verwaltung von Gruppen in der Konto- und Ressourcenverwaltungskonsole. Mit den entsprechenden Befugnissen können Sie verschiedene Gruppenverwaltungsaufgaben ausführen, zum Beispiel die Gruppenmitgliedschaften ändern. Wenn Sie mehrere Gruppen gleichzeitig auswählen, können Sie ausgewählte Aufgaben in einem Vorgang für mehrere Gruppen ausführen, beispielsweise Mitglieder löschen, verschieben oder zu einer Gruppe hinzufügen. Das Aufgabenmenü zeigt, welche Aufgaben verfügbar sind, wenn Sie eine oder mehrere Gruppen auswählen.
Sie können Benutzerkonten, Kontakte und Computer zu einer verwalteten Domäne hinzufügen.
HINWEIS:Diese Aufgabe fügt mehrere Konten zu einer ausgewählten Gruppe hinzu. Sie können ein einzelnes Konto zu einer Gruppe hinzufügen, indem Sie das entsprechende Konto auswählen und dann im Aufgabenmenü auf „Zu Gruppen hinzufügen“ klicken.
Wenn durch das Hinzufügen eines Kontos zu einer anderen Gruppe Ihre Befugnisse auf das Konto erweitert werden, lässt DRA das Hinzufügen des Kontos nicht zu.
Sie können Gruppen schachteln, indem Sie eine Gruppe zu einer anderen verwalteten Gruppe hinzufügen. Wenn eine Gruppe in einer anderen Gruppe geschachtelt ist, kann die untergeordnete Gruppe Berechtigungen von der übergeordneten Gruppe erben.
HINWEIS:Wenn durch das Hinzufügen einer Gruppe zu einer anderen Gruppe Ihre Befugnisse auf die ursprüngliche Gruppe erweitert werden, lässt DRA das Hinzufügen der Gruppe nicht zu.
Sie können die Eigenschaften lokaler und globaler Gruppen ändern. Ihre Befugnisse legen fest, welche Eigenschaften Sie für eine Gruppe in der verwalteten Domäne oder im verwalteten Teilbaum bearbeiten können. Wenn Sie Exchange installiert und die Microsoft Exchange-Unterstützung aktiviert haben, können Sie die Eigenschaften der Verteilerliste bei der Verwaltung der Gruppen ändern.
Sie können eine Gruppe in der verwalteten Domäne oder im verwalteten Teilbaum erstellen. Sie können auch die Eigenschaften einer neuen Gruppe bearbeiten, zum Beispiel die Mitglieder.
HINWEIS:
Möglicherweise wird in Ihrem Unternehmen eine Namenskonvention durch eine Richtlinie erzwungen, die festlegt, welchen Namen Sie der neuen Gruppe zuweisen dürfen.
Standardmäßig platziert DRA die neue Gruppe in die Organisationseinheit „Benutzer“ der verwalteten Domäne.
Sie können Benutzerkonten, Kontakte, Computer und andere Gruppen zur verwalteten Gruppe hinzufügen oder aus ihr entfernen. Fremdsicherheitsprinzipale können Sie in DRA nur entfernen. Sie können auch die Eigenschaften vorhandener Gruppenmitglieder (außer Fremdsicherheitsprinzipalen) anzeigen oder bearbeiten.
Wenn Sie Mitglieder aus einer Gruppe entfernen, löscht DRA die Objekte nicht. Wenn Sie Mitglieder zu einer Gruppe hinzufügen, benötigen Sie die Befugnis zum Ändern der Objekte, die Sie hinzufügen möchten.
HINWEIS:Sie können keine Benutzerkonten oder Gruppen zu einer der speziellen Windows-Gruppen hinzufügen (Administratoren, Kontenoperatoren, Sicherungsoperatoren, Serveroperatoren), es sei denn, Sie sind Windows-Administrator oder Mitglied der betreffenden spezifischen Gruppe.
Sie können Gruppen zu anderen Gruppen in der verwalteten Domäne oder im verwalteten Teilbaum hinzufügen oder aus ihnen entfernen. Sie können außerdem die Eigenschaften vorhandener Gruppen, zu denen die betreffende Gruppe gehört, anzeigen oder bearbeiten.
Sie können Active Directory-Sicherheitsberechtigungen für Gruppenmitgliedschaften festlegen. Diese Berechtigungen legen fest, wer die Gruppenmitgliedschaften mit Microsoft Outlook anzeigen (lesen) und wer sie bearbeiten (schreiben) kann. Mit diesen Einstellungen können Sie Verteilerlisten und Sicherheitsgruppen in Ihrer Umgebung effizienter absichern. Geerbte Sicherheitsberechtigungen können nicht geändert werden.
HINWEIS:Beim Verwalten der Gruppenmitgliedschaftssicherheit können deaktivierte Berechtigungen auf geerbte Berechtigungen hinweisen.
Sie können die Eigentümerschaft beliebiger Microsoft Windows-Verteilergruppen oder -Sicherheitsgruppen festlegen. Die Berechtigung der Gruppeneigentümerschaft kann einem Benutzerkonto, einer Gruppe oder einem Kontakt gewährt werden. Durch das Gewähren der Gruppeneigentümerschaft wird das festgelegte Benutzerkonto, die festgelegte Gruppe bzw. der festgelegte Kontakt berechtigt, die Mitgliedschaft der Gruppe zu ändern.
HINWEIS:DRA deaktiviert das Kontrollkästchen Manager kann die Mitgliedschaftsliste bearbeiten, wenn die Gruppenmitgliedschaft vom Microsoft Exchange-Server ausgeblendet ist. Um das Kontrollkästchen zu aktivieren, klicken Sie auf der Exchange-Registerkarte im Fenster der Gruppeneigenschaften auf Gruppenmitgliedschaft anzeigen.
Sie können lokale Gruppen und globale Gruppen in verwalteten Domänen klonen. Beim Klonen wird eine neue Gruppe des gleichen Typs und mit den gleichen Attributen wie die ursprüngliche Gruppe erstellt. DRA versucht außerdem, alle Mitglieder der ursprünglichen Gruppe zur neuen Gruppe hinzuzufügen.
Das Klonen von Gruppen ermöglicht ein schnelles Erstellen von Gruppen auf Grundlage anderer Gruppen mit ähnlichen Eigenschaften. Wenn Sie eine Gruppe klonen, füllt DRA den Assistenten „Gruppe klonen“ mit Werten aus der ausgewählten Gruppe aus. Sie können auch die Eigenschaften der neuen Gruppe bearbeiten.
HINWEIS:
Möglicherweise wird in Ihrem Unternehmen eine Namenskonvention durch eine Richtlinie erzwungen, die festlegt, welchen Namen Sie der neuen Gruppe zuweisen dürfen.
Standardmäßig platziert DRA die neue Gruppe in die Organisationseinheit „Benutzer“ der verwalteten Domäne.
Sie können sowohl lokale als auch globale Gruppen in der verwalteten Domäne oder im verwalteten Teilbaum löschen. Wenn der Papierkorb für die betreffende Domäne deaktiviert ist, wird die Gruppe beim Löschen dauerhaft aus Active Directory gelöscht. Wenn der Papierkorb für die betreffende Domäne aktiviert ist, wird die Gruppe beim Löschen in den Papierkorb verschoben und die Gruppeneigenschaften werden deaktiviert.
Weitere Informationen zum Papierkorb erhalten Sie unter Verwalten des Papierkorbs.
ACHTUNG:Wenn Sie eine neue Gruppe erstellen, weist Microsoft Windows der Gruppe eine Sicherheits-ID (SID) zu. Die SID wird nicht aus dem Gruppennamen erstellt. Microsoft Windows verwendet SIDs, um die Berechtigungen in Zugriffssteuerungslisten für jede Ressource aufzuzeichnen. Wenn Sie eine Gruppe löschen, können Sie ihre Zugriffsrechte nicht durch Erstellen einer Gruppe mit dem gleichen Namen wiederherstellen.
Sie können eine Gruppe in einen anderen Container, beispielsweise in eine Organisationseinheit, der verwalteten Domäne oder des verwalteten Teilbaums verschieben.
Sie können die Gruppenmitgliedschaft in Verteilerlisten für Gruppen der verwalteten Domäne oder des verwalteten Teilbaums anzeigen.
Sie können die Gruppenmitgliedschaft in Verteilerlisten für Gruppen der verwalteten Domäne oder des verwalteten Teilbaums ausblenden.
Mit temporären Gruppenzuweisungen können Sie Gruppenmitgliedschaften für Benutzer verwalten, die nur für einen bestimmten Zeitraum eine Gruppenmitgliedschaft benötigen. Dieser Abschnitt beschreibt die Verwaltung von temporären Gruppenzuweisungen in der Konto- und Ressourcenverwaltungskonsole. Mit den entsprechenden Befugnissen können Sie Aufgaben wie das Erstellen neuer temporärer Gruppenzuweisungen oder das Entfernen abgelaufener temporärer Gruppenzuweisungen ausführen. Sie können diese Aufgaben nur auf dem primären Verwaltungsserver ausführen. Das Aufgabenmenü zeigt, welche Aufgaben verfügbar sind, wenn Sie eine oder mehrere temporäre Gruppenzuweisungen auswählen.
Eigenschaften für temporäre Gruppenzuweisungen oder gespeicherte, abgelaufene temporäre Gruppenzuweisungen können nur auf dem primären Verwaltungsserver verwaltet werden. Ihre Befugnisse legen fest, welche Eigenschaften einer temporären Gruppenzuweisung Sie ändern dürfen.
Temporäre Gruppenzuweisungen können nur auf dem primären Verwaltungsserver erstellt werden. Sie können auch bestimmte Eigenschaften, wie Zeitpläne, für neue temporäre Gruppenzuweisungen bearbeiten.
Auf dem primären Verwaltungsserver können Sie Benutzerkonten zu einer temporären Gruppenzuweisung hinzufügen oder aus ihr entfernen.
HINWEIS:Sie können Benutzerkonten nur für temporäre Gruppenzuweisungen verwalten, die noch nicht aktiv sind.
Temporäre Gruppenzuweisungen können nur auf dem primären Verwaltungsserver neu geplant werden. Sie können auch gespeicherte, abgelaufene temporäre Gruppenzuweisungen neu planen.
HINWEIS:Wenn eine temporäre Gruppenzuweisung abläuft, löscht DRA diese automatisch, sofern Sie sie nicht zur späteren Verwendung gespeichert haben.
Sie können beliebige temporäre Gruppenzuweisungen auf dem primären Verwaltungsserver löschen.