En tant qu'assistant administrateur, vous pouvez utiliser DRA pour gérer des groupes et modifier leurs propriétés. Les groupes vous permettent de donner des autorisations spécifiques à un ensemble défini de comptes utilisateur. Les groupes vous permettent de contrôler les données et ressources accessibles à un compte utilisateur dans n'importe quel domaine.
Vous pouvez gérer des groupes quel que soit leur type et leur étendue. Par exemple, vous pouvez imbriquer des groupes, ce qui permet à un groupe d'hériter des autorisations d'un autre groupe. Vous pouvez aussi contrôler efficacement les adhésions aux groupes dans les différents domaines en ajoutant des groupes de domaines approuvés à d'autres groupes dans le domaine géré et en gérant les assignations temporaires à des groupes.
Cette section vous guide tout au long de l'administration des groupes au niveau de la console de gestion des comptes et des ressources. Si vous disposez des pouvoirs appropriés, vous pouvez effectuer différentes tâches de gestion sur le groupe, telles que modifier les adhésions au groupe. Si vous sélectionnez plusieurs groupes, vous pouvez effectuer certaines tâches en une seule opération, notamment supprimer, déplacer ou ajouter des membres à un groupe. Le menu Tâches indique les tâches que vous pouvez effectuer lorsque vous sélectionnez un ou plusieurs groupes.
Vous pouvez ajouter des comptes utilisateur, des contacts et des ordinateurs à un groupe géré.
REMARQUE :cette tâche ajoute plusieurs comptes à un groupe sélectionné. Vous pouvez ajouter un seul compte à un groupe en sélectionnant le compte approprié, puis en cliquant sur Ajouter aux groupes dans le menu Tâches.
Si l'ajout d'un compte à un autre groupe augmente vos pouvoirs sur ce compte, DRA ne vous autorise pas à ajouter ce compte.
Vous pouvez imbriquer des groupes en ajoutant un groupe à un autre groupe géré. Lorsqu'un groupe est imbriqué dans un autre groupe, le groupe enfant peut hériter des autorisations du groupe parent.
REMARQUE :si l'ajout d'un groupe à un autre groupe augmente vos pouvoirs sur le groupe source, DRA ne vous autorise pas à ajouter ce groupe.
Vous pouvez modifier les propriétés des groupes locaux et globaux. Vos pouvoirs déterminent les propriétés que vous pouvez modifier pour un groupe situé dans le domaine géré ou dans la sous-arborescence gérée. Si vous avez installé Exchange et activé la prise en charge de Microsoft Exchange, vous pouvez modifier les propriétés de liste de distribution dans le cadre de la gestion des groupes.
Vous pouvez créer un groupe dans le domaine géré ou dans la sous-arborescence gérée. Vous pouvez également modifier des propriétés, telles que les membres du nouveau groupe.
REMARQUE :
Votre société peut avoir une convention de dénomination appliquée par le biais d'une stratégie qui détermine le nom que vous pouvez assigner au nouveau groupe.
Par défaut, DRA place le nouveau groupe dans l'unité organisationnelle des utilisateurs du domaine géré.
Vous pouvez ajouter des comptes utilisateur, des contacts, des ordinateurs ou d'autres groupes à partir d'un groupe géré ou en supprimer. DRA vous autorise uniquement à supprimer les principaux de sécurité étrangère. Vous pouvez également afficher ou modifier les propriétés des membres du groupe existant, à l'exception des principaux de sécurité étrangère.
Lorsque vous supprimez des membres d'un groupe, DRA ne supprime pas les objets. Lorsque vous ajoutez des membres à un groupe, vous devez posséder le pouvoir de modifier les objets que vous souhaitez ajouter.
REMARQUE :vous ne pouvez ajouter de comptes utilisateur ou de groupes à aucun des groupes spéciaux Windows (administrateurs, opérateurs de compte, opérateurs de sauvegarde ou opérateurs de serveur) à moins d'être administrateur Windows ou d'être membre de ce groupe spécial spécifique.
Vous pouvez ajouter ou supprimer un groupe à partir d'autres groupes du domaine géré ou de la sous-arborescence gérée. Vous pouvez également afficher ou modifier les propriétés de groupes existants auxquels ce groupe appartient.
Vous pouvez définir des autorisations de sécurité Active Directory pour les adhésions au groupe. Ces autorisations indiquent qui peut afficher (lecture) et modifier (écriture) les adhésions au groupe à l'aide de Microsoft Outlook. Ces paramètres vous permettent de sécuriser plus efficacement les listes de distribution et les groupes de sécurité dans votre environnement. Vous ne pouvez pas modifier des autorisations de sécurité héritées.
REMARQUE :lorsque vous gérez la sécurité de l'adhésion au groupe, des autorisations désactivées peuvent signaler qu'il s'agit d'autorisations héritées.
Vous pouvez définir la propriété de n'importe quels groupes de sécurité ou de distribution Microsoft Windows. Vous pouvez accorder l'autorisation de propriété du groupe à un compte utilisateur, un groupe ou un contact. L'octroi de la propriété d'un groupe permet au compte utilisateur, au groupe ou au contact spécifié de modifier l'adhésion de ce groupe.
REMARQUE :DRA désactive la case à cocher Manager can update membership list (Le gestionnaire peut mettre à jour la liste des membres) lorsque l'adhésion au groupe est masquée du serveur Microsoft Exchange. Pour cocher cette case, cliquez sur Expose Group Membership (Exposer l'adhésion au groupe) sous l'onglet Exchange de la fenêtre Group Properties (Propriétés de groupe).
Vous pouvez cloner des groupes locaux et globaux dans les domaines gérés. Le clonage des groupes crée de nouveaux groupes du même type et avec les mêmes attributs que le groupe d'origine. DRA tente également d'ajouter tous les membres du groupe initial au nouveau groupe.
En clonant un groupe, vous pouvez créer rapidement des groupes en fonction d'autres groupes qui ont des propriétés similaires. Lorsque vous clonez un groupe, DRA complète les champs de l'assistant de clonage du groupe avec les valeurs du groupe sélectionné. Vous pouvez également modifier les propriétés du nouveau groupe.
REMARQUE :
Votre société peut avoir une convention de dénomination appliquée par le biais d'une stratégie qui détermine le nom que vous pouvez assigner au nouveau groupe.
Par défaut, DRA place le nouveau groupe dans l'unité organisationnelle des utilisateurs du domaine géré.
Vous pouvez supprimer des groupes locaux et globaux du domaine géré ou de la sous-arborescence gérée. Si la corbeille est désactivée pour ce domaine, la suppression d'un groupe supprime définitivement ce groupe d'Active Directory. Si la corbeille est activée pour ce domaine, lors de la suppression d'un groupe, celui-ci est déplacé vers la corbeille et les propriétés de ce groupe sont désactivées.
Pour plus d'informations sur la corbeille, reportez-vous à la section Gestion de la corbeille.
AVERTISSEMENT :lorsque vous créez un groupe, Microsoft Windows lui assigne un identificateur de sécurité (SID). Le SID n'est pas généré à partir du nom du groupe. Microsoft Windows utilise des identificateurs de sécurité pour enregistrer les privilèges dans les listes de contrôle d'accès (ACL) pour chaque ressource. Si vous supprimez un groupe, vous ne pouvez pas restaurer les droits d'accès à ce groupe en créant un nouveau groupe portant le même nom.
Vous pouvez déplacer un groupe vers un autre conteneur, par exemple une unité organisationnelle, dans le domaine géré ou dans la sous-arborescence gérée.
Vous pouvez exposer les adhésions au groupe dans les listes de distribution des groupes du domaine géré ou de la sous-arborescence gérée.
Vous pouvez masquer les adhésions au groupe dans les listes de distribution pour les groupes situés dans le domaine géré ou dans la sous-arborescence gérée.
Les assignations temporaires à des groupes permettent de gérer les adhésions au groupe des utilisateurs ayant uniquement besoin d'être membre d'un groupe pour une période spécifique. Cette section vous guide tout au long de l'administration des assignations temporaires à des groupes au niveau de la console de gestion des comptes et des ressources. Les pouvoirs appropriés vous permettent d'effectuer des tâches telles que créer de nouvelles assignations temporaires à des groupes ou de supprimer celles ayant expiré. Vous pouvez effectuer ces tâches uniquement sur le serveur d'administration primaire. Le menu Tâches indique les tâches que vous pouvez effectuer lorsque vous sélectionnez une ou plusieurs assignations temporaires à des groupes.
Vous pouvez gérer les propriétés des assignations temporaires à des groupes ou les assignations temporaires à des groupes enregistrées ayant expiré uniquement sur le serveur d'administration primaire. Les pouvoirs en votre possession déterminent les propriétés que vous pouvez modifier pour une assignation temporaire à un groupe.
Vous ne pouvez créer une assignation temporaire à un groupe que sur le serveur d'administration primaire. Vous pouvez également modifier les propriétés, notamment les planifications, de la nouvelle assignation temporaire à un groupe.
Vous pouvez ajouter des comptes utilisateur à partir d'assignations temporaires à des groupes au serveur d'administration primaire ou en supprimer.
REMARQUE :Vous pouvez uniquement gérer les comptes utilisateur des assignations temporaires à des groupes qui ne sont pas encore actives.
Vous pouvez replanifier les assignations temporaires à des groupes uniquement sur le serveur d'administration primaire. Vous pouvez également replanifier une assignation temporaire à un groupe enregistrée ayant expiré.
REMARQUE :Lorsqu'une assignation temporaire à un groupe arrive à expiration, DRA la supprime automatiquement, sauf si vous l'avez enregistrée afin de l'utiliser ultérieurement.
Vous pouvez supprimer n'importe quelle assignation temporaire à un groupe du serveur d'administration primaire.