Seskupovat objekty

Skupina je reprezentována jako skupina objekt ve službě Active Directory Domain Services. Následující tabulka uvádí důležité atributy skupiny objektu.

Atribut	Popis
cn	cn (nebo Common-Name) je atribut s jednou hodnotou, který je relativní rozlišující název objektu. cn je název skupiny ve službě Active Directory Domain Services. Stejně jako u všech ostatních objektů musí být cn skupiny jedinečné mezi objekty na stejné straně v kontejneru, který skupinu obsahuje.
člena	Atribut člen je atribut s více hodnotami, který obsahuje seznam rozlišujících jmen uživatele, skupiny a kontaktních objektů, které jsou členy skupiny. Každá položka v seznamu je propojený odkaz na objekt, který představuje člena; Server služby Active Directory proto při přesunutí nebo přejmenování člena automaticky aktualizuje rozlišující názvy ve vlastnosti člena.
groupType	Atribut groupType je atribut s jednou hodnotou, který je celé číslo, které určuje typ skupiny a obor pomocí následujících bitových příznaků: ADS_GROUP_TYPE_DOMAIN_LOCAL_GROUP ADS_GROUP_TYPE_GLOBAL_GROUP ADS_GROUP_TYPE_UNIVERSAL_GROUP ADS_GROUP_TYPE_SECURITY_ENABLED První tři příznaky určují obor skupiny. Příznak ADS_GROUP_TYPE_SECURITY_ENABLED označuje typ skupiny. Pokud je tento příznak nastavený, skupina je skupina zabezpečení. Pokud tento příznak není nastavený, skupina je distribuční skupina. Další informace naleznete v tématu typy skupin.
členOf	Atribut memberOf je atribut s více hodnotami, který obsahuje seznam rozlišujíných názvů skupin, které skupinu obsahují jako člena. Tento atribut uvádí skupiny, pod kterými je skupina přímo vnořená, neobsahuje rekurzivní seznam vnořených předchůdců. Pokud by například skupina D byla vnořena do skupiny C a skupiny B a skupiny B ve skupině A, členOf atribut skupiny D vypíše skupinu C a skupinu B, ale ne skupinu A.
objectGUID	Atribut objectGUID je atribut s jednou hodnotou, který je jedinečným identifikátorem objektu. Tento atribut je globálně jedinečný identifikátor (GUID). Při vytvoření objektu v adresáři server Active Directory vygeneruje identifikátor GUID a přiřadí ho objectGUID atributu. Identifikátor GUID je jedinečný v rámci celého podniku a kdekoli jinde. objectGUID je 128bitová struktura GUID uložená jako OctetString.
objectSid	Atribut objectSid je atribut s jednou hodnotou, který určuje identifikátor zabezpečení (SID) skupiny. Identifikátor SID je jedinečná hodnota použitá k identifikaci skupiny jako objektu zabezpečení. Jedná se o binární hodnotu, kterou systém nastaví při vytvoření skupiny. Každá skupina má jedinečný identifikátor SID, který doména systému Windows NT/Windows 2000 Server vydává, která je uložena v objectSid atributu objektu skupiny v adresáři. Pokaždé, když se uživatel přihlásí, systém načte identifikátor SID pro skupiny, jejichž je uživatel členem, a umístí ho do přístupového tokenu uživatele. Systém používá identifikátory SID v přístupovém tokenu uživatele k identifikaci uživatele a jeho členství ve skupině při všech následných interakcích se zabezpečením systému Windows NT/Windows 2000. Pokud byl identifikátor SID použit jako jedinečný identifikátor uživatele nebo skupiny, nelze jej nikdy použít k identifikaci jiného uživatele nebo skupiny.
sAMAccountName	Atribut sAMAccountName je atribut s jednou hodnotou, který se používá k podpoře klientů a serverů z předchozí verze (Windows 95, Windows 98 a LAN Manager). sAMAccountName musí být méně než 20 znaků, aby bylo možné podporovat klienty a servery z předchozí verze. sAMAccountName musí být jedinečný mezi všemi objekty zabezpečení v rámci domény.

Typy skupin

Existují dva typy skupin definované službou Active Directory Domain Services, skupiny zabezpečení a distribuční skupiny.

Skupina zabezpečení poskytuje logické seskupení objektů a samotná skupina se dá použít jako objekt zabezpečení v seznamu řízení přístupu (ACL). Když je skupině zabezpečení udělen přístup k objektu, všichni členové skupiny zabezpečení automaticky obdrží stejný přístup k objektu. Skupiny zabezpečení s univerzálním oborem lze také použít jako e-mailovou entitu. Odeslání e-mailové zprávy univerzální skupině zabezpečení odešle zprávu všem členům skupiny.

Distribuční skupina také poskytuje logické seskupení objektů, ale nemůže poskytnout žádná přístupová oprávnění. Distribuční skupiny nejsou povolené a nelze je použít jako objekt zabezpečení v seznamu ACL. Distribuční skupiny se používají jenom pro účely seskupení. Distribuční seznamy lze například použít s e-mailovými aplikacemi, jako je Exchange, k odesílání e-mailů kolekci uživatelů.

Další informace o typech skupin ve službě Active Directory Domain Services najdete v tématu Typy skupin tématu Microsoft TechNet.

Obor skupiny

Existují tři obory skupin, které jsou definovány službou Active Directory Domain Services, Universal, Global a Domain Local. Obor skupiny definuje, jaké typy objektů mohou patřit do skupiny, jaké typy skupin může být skupina členem a oborem objektů, ke kterým mohou být skupiny zabezpečení udělen přístup. Pokud je úroveň funkčnosti domény nastavena na smíšený režim Systému Windows 2000, nelze vytvořit skupiny zabezpečení s univerzálním oborem.

Následující tabulka uvádí tři obory skupin a další informace o jednotlivých oborech pro skupinu zabezpečení.

Rozsah	Možné členy	Převod oboru	Může udělit oprávnění	Možný člen
Univerzální	Účty z jakékoli domény ve stejné doménové struktuře. Globální skupiny z libovolné domény ve stejné doménové struktuře Jiné univerzální skupiny z jakékoli domény ve stejné doménové struktuře.	Lze převést na místní obor domény. Lze převést na globální obor, pokud skupina neobsahuje žádné jiné univerzální skupiny.	V jakékoli doméně ve stejné doménové struktuře nebo důvěřující doménové struktuře.	Ostatní univerzální skupiny ve stejné doménové struktuře. Místní skupiny domény ve stejné doménové struktuře nebo důvěřující doménové struktuře. Místní skupiny na počítačích ve stejné doménové struktuře nebo důvěřující doménové struktuře
Globální	Účty ze stejné domény. Ostatní globální skupiny ze stejné domény.	Lze převést na univerzální obor, pokud skupina není členem žádné jiné globální skupiny.	V jakékoli doméně ve stejné doménové struktuře nebo v doménových strukturách důvěřující doménám nebo doménám.	Univerzální skupiny z libovolné domény ve stejné doménové struktuře. Ostatní globální skupiny ze stejné domény. Místní doménové skupiny z jakékoli domény ve stejné doménové struktuře nebo z jakékoli důvěryhodné domény.
Místní doména	Účty z jakékoli domény nebo jakékoli důvěryhodné domény. Globální skupiny z jakékoli domény nebo jakékoli důvěryhodné domény. Univerzální skupiny z libovolné domény ve stejné doménové struktuře. Jiné místní skupiny domény ze stejné domény.	Lze převést na univerzální obor, pokud skupina neobsahuje žádné jiné místní skupiny domény.	Ve stejné doméně.	Jiné místní skupiny domény ze stejné domény. Místní skupiny na počítačích ve stejné doméně s výjimkou předdefinovaných skupin, které mají dobře známé IDENTIFIKÁTORy SID.