none
什么是Shadow Group? RRS feed

  • 问题

  • 看文档( Password Policy )时发现下面这段话,提到了一个叫做“shadow group”的概念:

    “To apply a fine-grained password policy to users of an OU, you can use a shadow group. A shadow group is a global security group that is logically mapped to an OU to enforce a fine-grained password policy.”

    只简单说了shadow group是一个对OU逻辑映射的安全组,没找到更详细的说明。那么,到底什么是shadow group,该怎么用法?


    2019年4月9日 9:10

答案

  • 你好,

    谢谢你的提问。

    相必在你提供的链接中有讲到Fine-grained password policies apply only to user objects (or inetOrgPerson objects if they are used instead of user objects) and global security groups. 细粒度密码策略仅能运用到用户对象和全局安全组上,因此他是无法直接应用到OU组织单元上的,在这个时候如果你想要将特定的密码策略应用到OU上,就需要一个影子组了。

    影子组:影子组是包含组织单位下的对象的常规Active Directory组。由于影子组是常规组,因此可用于安全性。简而言之,就是说影子组就是一个可以包含OU下所有用户对象的安全组。

    举个例子,当你想要为某个文件夹分配权限时,你不能为OU分配权限,但是你可以通过包含该OU下的所有对象的影子组分配权限。

    该怎么用影子组?

    很简单,在ADUC上创建一个组,然后在包含用户的OU中,按Ctrl+A选中搜友用户,右键单击任何选中的用户,然后选择“添加到组”。键入组的名字,然后单击确定即可。

    但是windows并没有自动维护影子组成员的方法,即OU下用户增加减少,影子组成员并不会自动增加减少,需要手动或者通过三方工具或脚本进行信息动态维护。


    最好的祝福,

    Lee


    Just do it.

    • 已标记为答案 Stanley_L 2019年4月10日 3:49
    2019年4月10日 2:43
    版主

全部回复

  • 你好,

    谢谢你的提问。

    相必在你提供的链接中有讲到Fine-grained password policies apply only to user objects (or inetOrgPerson objects if they are used instead of user objects) and global security groups. 细粒度密码策略仅能运用到用户对象和全局安全组上,因此他是无法直接应用到OU组织单元上的,在这个时候如果你想要将特定的密码策略应用到OU上,就需要一个影子组了。

    影子组:影子组是包含组织单位下的对象的常规Active Directory组。由于影子组是常规组,因此可用于安全性。简而言之,就是说影子组就是一个可以包含OU下所有用户对象的安全组。

    举个例子,当你想要为某个文件夹分配权限时,你不能为OU分配权限,但是你可以通过包含该OU下的所有对象的影子组分配权限。

    该怎么用影子组?

    很简单,在ADUC上创建一个组,然后在包含用户的OU中,按Ctrl+A选中搜友用户,右键单击任何选中的用户,然后选择“添加到组”。键入组的名字,然后单击确定即可。

    但是windows并没有自动维护影子组成员的方法,即OU下用户增加减少,影子组成员并不会自动增加减少,需要手动或者通过三方工具或脚本进行信息动态维护。


    最好的祝福,

    Lee


    Just do it.

    • 已标记为答案 Stanley_L 2019年4月10日 3:49
    2019年4月10日 2:43
    版主
  • Hi Lee,

    谢谢你的回答。

    也就是说,AD Shema里并不存在所谓“shadow group”这样一种类型的对象,它只是特指将OU成员加入到安全组的这种管理手段上的trick。我这样理解对吗?



    2019年4月10日 2:57
  • Hi,

    是的。我认为你的理解是正确的。

    以下是关于AD安全组的官方文档。

    https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-r2-and-2012/dn579255(v%3Dws.11)

    如果你想要使用shadow group, 建议你继续关注如何自动维护影子组成员。

    最好的祝福,

    Lee


    Just do it.

    2019年4月10日 3:18
    版主