Types de groupes Active Directory

Apprenez à connaître vos groupes Active Directory

Microsoft Active Directory est un service d’annuaire qui est utilisé sur les domaines Windows et est fourni avec le système d’exploitation Windows Server et existe depuis Windows 2000. Active Directory utilise le protocole LDAP (Lightweight Directory Access Protocol) et est responsable du suivi de toutes les informations sur votre domaine Windows tels que les utilisateurs, les groupes, les ordinateurs, les serveurs, les imprimantes et de nombreux autres objets dans sa base de données. Il permet aux administrateurs de gérer tous ces objets et services à partir d’un emplacement central plutôt que d’avoir à passer d’un ordinateur à l’autre pour faire avancer les choses. De nombreux autres programmes peuvent être liés à Active Directory pour gérer également les comptes d’utilisateurs et d’autres objets.

Active Directory comporte plusieurs groupes intégrés que vous pouvez utiliser pour affecter des utilisateurs ou des ordinateurs afin qu’ils disposent des autorisations dont ils ont besoin pour accomplir leur travail. Vous pouvez également créer vos propres groupes et attribuer à ces groupes différents niveaux d’accès et d’autorisations. Pour cet article, nous allons discuter des sept groupes principaux dans lesquels il existe deux types de groupe de domaine avec trois types d’étendue dans chacun plus le groupe de sécurité local.

Groupes de domaine
Les deux groupes de domaine se composent de groupes de sécurité et de groupes de distribution et au sein de ces deux groupes, nous avons trois étendues de groupe qui seront discutées ensuite. Lors de la création d’un nouveau groupe Active Directory, vous devrez choisir entre un groupe de sécurité et de distribution, ainsi que la portée du groupe.

Groupes de sécurité
Les groupes de sécurité contiennent des utilisateurs qui ont diverses autorisations attribuées et un accès à des ressources spécifiées telles que des dossiers partagés, des imprimantes et d’autres objets. En utilisant un groupe de sécurité, les administrateurs n’ont pas besoin d’attribuer ces autorisations utilisateur par utilisateur, mais plutôt de créer le groupe avec toutes les autorisations attribuées au groupe, puis d’ajouter des utilisateurs à ce groupe. Lorsqu’un utilisateur est affecté à un groupe de sécurité, cet utilisateur hérite de tous les droits qui l’accompagnent. Si un utilisateur se trouve dans plusieurs groupes de sécurité qui s’appliquent au même objet, les droits les plus restrictifs de tous les groupes prendront effet. Ainsi, si l’utilisateur A a un accès en modification au dossier Ventes en étant dans le groupe Ventes mais a un accès en lecture seule au dossier Ventes en étant dans le groupe Marketing, l’utilisateur A aura un accès en lecture seule au dossier Ventes comme ses autorisations effectives.

Groupes de distribution
Les groupes de distribution sont utilisés pour envoyer des e-mails à des fins de communication. Ainsi, plutôt que d’avoir à envoyer le même e-mail à 20 vendeurs par exemple, si ces 20 personnes appartiennent toutes au groupe de distribution Ventes, vous pouvez envoyer un e-mail au groupe de distribution Ventes et les 20 personnes de ce groupe recevront l’e-mail. Ces types de groupes sont généralement utilisés lorsque votre messagerie est configurée sur un serveur de messagerie tel que Microsoft Exchange.

Étendues de groupe
Lors de la configuration d’un groupe de sécurité ou de distribution, vous devrez également choisir une étendue pour ce groupe afin qu’Active Directory sache comment attribuer les autorisations aux ressources auxquelles ce groupe est autorisé à accéder. Ces étendues détermineront la portée de ces autorisations, par exemple uniquement dans le domaine local ou l’arborescence de domaine à travers l’ensemble de la forêt Active Directory. Il existe trois types d’étendues de groupe que vous pouvez attribuer à un groupe de sécurité ou de distribution.

Groupe local de domaine
Ce type d’étendue de groupe est utilisé pour gérer les autorisations et les niveaux d’accès aux ressources du domaine dans lequel il a été créé. Les groupes locaux de domaine peuvent contenir des groupes globaux, des groupes universels et des comptes d’utilisateurs de n’importe quel domaine en plus de ses comptes locaux. Les autorisations ne peuvent être accordées qu’au sein du même domaine.

Groupe mondial
Ces groupes sont utilisés pour détenir des comptes d’utilisateurs et des comptes d’ordinateurs dans le domaine, mais ils peuvent également être utilisés pour fournir un accès aux ressources d’un autre domaine. Il peut contenir des comptes d’utilisateurs et des groupes globaux du même domaine, ainsi qu’être membre de groupes locaux et universels de domaine dans n’importe quel domaine. Des autorisations peuvent être accordées sur n’importe quel domaine de la même forêt, ainsi que sur des domaines et des forêts d’approbation.

Groupe universel
Les groupes universels sont utilisés avec de grandes forêts Active Directory où vous devez accorder l’accès et gérer les ressources sur plusieurs domaines. Ces groupes peuvent contenir des utilisateurs et des groupes de n’importe quel domaine de la forêt. Ils peuvent également être membres de groupes locaux de domaine ou d’autres groupes universels. Cependant, ils ne peuvent pas être membres de groupes mondiaux. Des autorisations peuvent être accordées sur n’importe quel domaine de la même forêt ou d’une forêt d’approbation.