AGDLP

Het is de afkorting van: Accounts – Global Groups – Domain Local – Permissions

Wanneer je in een Microsoft domein aan de slag gaat met het delen van data, printers of applicaties (resources) kan dat snel leiden tot een warboel van permissies waarbij, na verloop van tijd, de naald erg klein is in de grote hooiberg.

Dit hoeft echter niet. Wanneer je je houdt aan de structuur zoals Microsoft bedacht heeft bij het ontwerp van de besturingssystemen kan je een overzichtelijke structuur opzetten waarmee iedere IT-er uit de voeten kan. In principe ga je uit van AGDLP; hierbij groepeer je gebruikers in groepen en maak je ook groepen aan die permissies op je resources (shares) krijgen.

VOORBEELD

Stap 1:
Maak in Active Directory 2 nieuwe Organizational Unit (OU) aan.

• _ORG
• _SHARES

de _ (Underscore) wordt hier gebruikt zodat deze OU vanboven in de lijst komen te staan, dit is om het jezelf makkelijk te maken. Dit heeft geen andere functie.

Stap 2:
In de OU _ORG gaan we opnieuw nieuwe OU’s aanmaken per departementen die er in het bedrijf aanwezig zijn. (bv. IT, HR, Sales, …), hier kunnen we later alle USERS en de GLOBAL groep van het departement plaatsen

In de OU _SHARES gaan we ook nieuw OU’s aanmaken, een OU per share waar eer bepaalde rechten op moeten komen. (bv in de share IT mogen alleen personen van het departement IT lees- en schrijfrechten hebben). Hier gaan we later DOMAIN LOCAL groepen aanmaken, die een bepaalde PERMISSION level hebben

Stap 3:
In de OU Sales, IT en HR gaan we een GLOBAL groep voor het desbetreffende departement. Net als gaan we hier USERS van dit departement aanmaken.

Global groep aanmaken:
We maken een nieuwe Global groep aan in de OU van Sales en noemen deze G_Sales, de G in deze groepsnaam staat voor Global, zodat we weten dat het over een GLOBAL groep gaat.  Je kan er meerdere aanmaken als je de users meer wilt opsplitsen. Later gaan we USERS lid maken van de GLOBAL groep, en de GLOBAL groep maken we dan weer lid van een DOMAIN LOCAL met een bepaalde PERMISSION level op een share. En zo hebben de user die dan lid zijn van de GLOBAL groep die bepaalde PERMISSION op die share.

User aanmaken:
We maken een nieuwe USER aan in de OU.

We zien nu dat de USER en de GLOBAL groep in de OU staan van sales.

User lid maken van de Global groep:
Klik met de rechtermuisknop op de user en kies in het snel menu voor “Add to a group“.
Geef de juiste groepsnaam in, en klik op OK.

We kunnen nu zien dat de user lid is van de global groep.

Stap 4:
Nu moeten de DOMAIN LOCAL groepen nog worden aangemaakt in de OU onder de _SHARES OU, per OU worden er 3 DOMAIN LOCAL groepen aangemaakt, en we vermelden hier ook bij welke PERMISSION level deze groep gaan krijgen.

• READ (R)
• Modify (M)
• FULL (F)

De naamgeving zou dan als volgt gaan voor de Sales Share OU:

• DL_Sales_R
• DL_Sales_M
• DL_Sales_F

DL staat hier voor DOMAIN LOCAL zodat we weten dat het over een DOMAIN LOCAL groep gaat, gevolgd door de naam van de share en dan nog eens gevolgd door de PERMISSON level die we straks op de share zelf gaan instellen.