In qualità di amministratore aggiunto, è possibile utilizzare DRA per gestire i gruppi e modificarne le proprietà. I gruppi consentono di assegnare autorizzazioni specifiche a un gruppo di account utente definito. Consentono inoltre di controllare a quali dati e risorse un account utente può accedere in qualsiasi dominio.
È possibile gestire gruppi di qualsiasi tipo e ambito. Ad esempio, è possibile nidificare i gruppi, consentendo a un gruppo di ereditare le autorizzazioni da un altro gruppo. È anche possibile controllare in modo efficace le appartenenze ai gruppi nei domini aggiungendo gruppi da domini attendibili ad altri gruppi che si trovano nel dominio gestito, quindi gestendo le assegnazioni temporanee ai gruppi.
In questa sezione vengono fornite informazioni per l'amministrazione di gruppi nella console Account and Resource Management (Gestione account e risorse). Con i poteri appropriati è possibile eseguire diversi task di gestione dei gruppi, ad esempio la modifica delle appartenenze ai gruppi. Se si selezionano più gruppi, è possibile eseguire i task selezionati in un'unica operazione, ad esempio la cancellazione, lo spostamento o l'aggiunta di membri a un gruppo. Il menu Task indica quali task è possibile eseguire quando si selezionano uno o più gruppi.
È possibile aggiungere account utente, contatti e computer a un gruppo gestito.
NOTA:Questo task consente di aggiungere più account a un gruppo selezionato. È possibile aggiungere un singolo account a un gruppo selezionando l'account desiderato, quindi facendo clic su Aggiungi ai gruppi nel menu Task.
Se l'aggiunta di un account a un altro gruppo, aumenta i poteri assegnati a quell'account, DRA non consentirà di eseguire l'operazione.
È possibile nidificare i gruppi mediante l'aggiunta di un gruppo a un altro gruppo gestito. Quando un gruppo viene nidificato in un altro gruppo, il gruppo secondario può ereditare le autorizzazioni del gruppo principale.
NOTA:Se l'aggiunta di un gruppo a un altro gruppo, aumenta i poteri assegnati a quel gruppo, DRA non consentirà di eseguire l'operazione.
È possibile modificare le proprietà dei gruppi locali e globali. I poteri di cui si dispone determinano le proprietà che è possibile modificare per un gruppo nel dominio o nel sottoalbero gestito. Se si è installato Exchange e si è abilitato il supporto di Microsoft Exchange, è possibile modificare le proprietà dell'elenco di distribuzione mentre si gestiscono i gruppi.
È possibile creare un gruppo nel dominio o nel sottoalbero gestito. È anche possibile modificare le proprietà, ad esempio i membri dei gruppi per il nuovo gruppo.
NOTA:
Nell'azienda potrebbe essere applicata una convenzione di denominazione mediante una policy che determina il nome che è possibile assegnare al nuovo gruppo.
Di default, in DRA il nuovo gruppo verrà inserito nell'unità organizzativa degli utenti del dominio gestito.
È possibile aggiungere o rimuovere account utente, contatti, computer o altri gruppi da un gruppo gestito. DRA consente di rimuovere solo le entità principal di sicurezza esterne. È inoltre possibile visualizzare o modificare le proprietà dei membri dei gruppi esistenti, ad eccezione delle entità principal di sicurezza esterne.
Quando si rimuovono membri da un gruppo, DRA non cancella gli oggetti. Se si aggiungono membri a un gruppo, è necessario disporre dei poteri per modificare gli oggetti che si desidera aggiungere.
NOTA:Non è possibile aggiungere account utente o gruppi a uno qualsiasi dei gruppi speciali di Windows (amministratori, operatori di account, operatori di backup o del server) a meno che non si ricopra il ruolo di amministratore di Windows o di membro di tale gruppo speciale specifico.
È possibile aggiungere o rimuovere un gruppo da altri gruppi nel dominio o nel sottoalbero gestito. È inoltre possibile visualizzare o modificare le proprietà dei gruppi esistenti a cui appartiene il gruppo.
È possibile impostare le autorizzazioni di sicurezza di Active Directory per le appartenenze ai gruppi. Queste autorizzazioni consentono di specificare chi può visualizzare (lettura) e modificare (scrittura) le appartenenze ai gruppi utilizzando Microsoft Outlook. Consentono inoltre di proteggere con maggiore efficacia gli elenchi di distribuzione e i gruppi di sicurezza del proprio ambiente. Non è possibile modificare le autorizzazioni di sicurezza ereditate.
NOTA:Quando si gestisce la sicurezza delle appartenenze ai gruppi, le autorizzazioni disabilitate possono indicare le autorizzazioni ereditate.
È possibile impostare la proprietà di qualsiasi gruppo di distribuzione o di sicurezza di Microsoft Windows. È possibile concedere l'autorizzazione di proprietà del gruppo a un account utente, a un gruppo o a un contatto. La concessione della proprietà di un gruppo consente all'account utente, al gruppo o al contatto specificato di modificare l'appartenenza del gruppo.
NOTA:DRA disabilita la casella di controllo Manager can update membership list (Il manager può aggiornare l'elenco delle appartenenze) quando l'appartenenza al gruppo non è visibile al server Microsoft Exchange. Per attivare questa casella di controllo, fare clic su Expose Group Membership (Esponi appartenenza al gruppo) nella scheda Exchange della finestra Group Properties (Proprietà gruppo).
È possibile clonare i gruppi locali e i gruppi globali nei domini gestiti. La clonazione dei gruppi consente di creare nuovi gruppi dello stesso tipo e con attributi uguali a quelli del gruppo originale. DRA tenta inoltre di aggiungere tutti i membri del gruppo originale al nuovo gruppo.
Clonando un gruppo, è possibile creare rapidamente gruppi basati su altri gruppi con proprietà simili. Quando si clona un gruppo, DRA popola i campi della procedura guidata Clone Group (Clona gruppo) con i valori del gruppo selezionato. È anche possibile modificare le proprietà del nuovo gruppo.
NOTA:
Nell'azienda potrebbe essere applicata una convenzione di denominazione mediante una policy che determina il nome che è possibile assegnare al nuovo gruppo.
Di default, in DRA il nuovo gruppo verrà inserito nell'unità organizzativa degli utenti del dominio gestito.
È possibile cancellare i gruppi locali e globali nel dominio o nel sottoalbero gestito. Se il Cestino è disabilitato per tale dominio, la cancellazione di un gruppo ne determina la rimozione definitiva da Active Directory. Se invece il Cestino è abilitato per il dominio, la cancellazione di un gruppo ne determina lo spostamento nel Cestino disabilitandone le proprietà.
Per ulteriori informazioni sul Cestino, vedere la sezione Gestione del Cestino.
AVVERTENZA:Quando si crea un gruppo, Microsoft Windows assegna al gruppo un identificatore di sicurezza (SID). Il SID non viene generato dal nome del gruppo. Microsoft Windows utilizza i SID per registrare i privilegi negli ACL (elenchi di controllo di accesso) per ciascuna risorsa. Se si cancella un gruppo, non è possibile restituire le funzionalità di accesso per il gruppo mediante la creazione di un nuovo gruppo con lo stesso nome.
È possibile spostare un gruppo in un altro container, ad esempio in un'unità organizzativa, nel dominio o nel sottoalbero gestito.
È possibile esporre le appartenenze ai gruppi negli elenchi di distribuzione nel dominio o nel sottoalbero gestito.
È possibile nascondere le appartenenze ai gruppi negli elenchi di distribuzione dei gruppi nel dominio o nel sottoalbero gestito.
Le assegnazioni temporanee ai gruppi consentono di gestire le appartenenze ai gruppi per gli utenti che richiedono l'appartenenza a un gruppo solo per un periodo di tempo specifico. In questa sezione vengono illustrate le assegnazioni temporanee ai gruppi nella console Account and Resource Management (Gestione account e risorse). Con i poteri appropriati è possibile eseguire task come la creazione di nuove assegnazioni temporanee ai gruppi oppure la rimozione di tali assegnazioni. È possibile eseguire queste operazioni solo sul server di amministrazione primario. Il menu Task indica quale task è possibile eseguire quando si selezionano assegnazioni ai gruppi temporanee singole o multiple.
È possibile gestire le proprietà delle assegnazioni temporanee ai gruppi o le assegnazioni temporanee ai gruppi scadute e salvate solo sul server di amministrazione primario. I poteri di cui dispone l'utente determinano le proprietà che è possibile modificare per un'assegnazione temporanea al gruppo.
È possibile creare un'assegnazione temporanea a un gruppo solo sul server di amministrazione primario. È anche possibile modificare le proprietà, ad esempio le pianificazioni, per la nuova assegnazione temporanea al gruppo.
È possibile aggiungere o rimuovere gli account utente dalle assegnazioni temporanee ai gruppi sul server di amministrazione primario.
NOTA:È possibile gestire gli account utente solo per le assegnazioni temporanee ai gruppi che non sono ancora attive.
È possibile ripianificare le assegnazioni temporanee ai gruppi solo sul server di amministrazione primario. È inoltre possibile ripianificare un'assegnazione temporanea a un gruppo scaduta e salvata.
NOTA:Quando scade un'assegnazione temporanea a un gruppo, DRA cancella automaticamente il gruppo, a meno che non sia stato salvato per l'utilizzo futuro.
È possibile cancellare qualsiasi assegnazione temporanea a un gruppo sul server di amministrazione primario.