使用Active Directory安全组作为分层标记

实际上，我们正在为用户做类似的事情。 我们的ERP数据库吐出“合格账户”列表，我们的身份pipe理程序变成新的/删除的账户。 这些相同的列表包括允许我们根据员工types自动创build组的variables，因为我们是大学，专业和注册class级组。 最后两个对于设置课堂文件共享等权限非常有用。

我们发现的关键事情之一是，组命名约定必须是明显的，他们是生成的组，而不是手动维护的组。 这阻止了错误。

另外要记住的是，AD允许嵌套组，当设置“任何地质类的人”可以访问的文件共享位置时，这是非常方便的; 有一个组包含所有GEOL类的类组。 当一个应用程序或其他东西不支持嵌套组时，这是不太方便的（VB-Script就是这种情况）。

用计算机做这件事情会花费更多的精力，因为你不能依靠你的IDM系统为你做繁重的工作。 我们只是parsingCSV文件。 您必须定期清点所有设备以生成您的设备。 这些库存系统可以通过横跨整个企业的WMI脚本来完成，WMI脚本在启动时运行，在特定的地方转储configuration以便parsing和上传，或者（对于商业产品）实际代理定期清点并更新数据库。

我明白你想要做什么，这是有道理的，但有些事情让我觉得有点不合适。 用户和计算机的configuration似乎非常耗时和复杂。

一些标签看起来像库存types的项目。 我想知道是否没有更好的解决scheme，可能WMI脚本如sysadmin1138build议。

我也想知道login时间对用户的影响，如果他们现在可能在15-20组。

总的来说，一个好主意，我只是不确定是否能find你想要的东西。