我需要在AD中创build安全组。 我可以确定我需要的团队，假设他们是：pipe理，财务，销售和工程。 而且我可以确定每个组需要访问的资源（尽pipe这可能是一个乏味的任务）。 我可以确定所需的访问级别。 大多数公司根据需要添加安全组。 但是，这是一个公司已经成熟但从未使用过安全团体的情况。 有没有实施安全组的最佳做法？ 有什么build议吗？ 或避免陷阱？ 有没有人知道任何工具，可以加快组 – >资源映射过程？
我正在设置Exchange 2010服务器。 目前，我们使用Exchange 2007服务的SaaS提供商。 一些（但不是全部）我的用户报告说他们正在接收Outlook / Exchangelogin提示以login到新的Exchange服务器。 这在没有任何干预客户机器的情况下发生。 Exchange服务器是域的成员，并通过站点到站点VPN远程连接到域站点。 我能做些什么来防止这些login提示出现？ 将closures新的服务器，直到是时候切换解决这些问题？ 多一点信息：我发现，在其中一台客户端计算机上，Outlook over HTTP的所有设置已经（自动）从webmail.provider.com更改为mail.company.com（后者是新服务器）。 当我在Exchange 2010上启用Outlook Anywhere访问时，发生了这种情况。我改回了客户端的设置，一切都很顺利。 但是，当我再次禁用Outlook Anywhere时，login提示又回来了。
我想编写脚本允许工作站join一个域。 我有这个域的主要DC的IP地址。 是否有任何命令/脚本，我可以用来检索此AD域的域名 ，使域名可以检索的join域操作？ 所有工作站/ DC都是Windows Server 2008。 在工作站/ DC上有两个NIC。 其中一个用于networking负载平衡（NLB），另一个用于pipe理。 默认网关只在NLB的网卡上设置，而我拥有的IP地址是pipe理网关。 在主DC中没有设置反向DNS区域，并且改变它的设置不是优选的。
我正在考虑接pipe公司基础设施pipe理的询价。 我对细节很模糊（正准备发邮件给他们澄清一些事情），但是这听起来像是他们想要办公室里的所有硬件。 他们运行的东西是相对标准的（AD，Exchange，SQL Server，SharePoint）。 我的问题是围绕着一个远程AD控制器。 我知道有很多情况下，你有分支机构通过站点到站点的VPN使用家庭办公室的AD控制器。 它只是感觉有点…将整个堆栈重新定位到远程站点（无论是我们的办公室，还是更可能的是本地托pipe设施）。 显然必须要有某种设备，至less可以做DHCP，因为它们当前的AD服务器处理所有的DHCP和DNS责任。 这个configuration看起来是否合法？
我知道我可以创build一个OU，将用户对象移动到其中，并将GPO链接到该OU，并且该GPO将应用于这些用户。 是否可以build立一个OU，将一个组移到OU中，并将一个链接的GPO应用于属于该组成员的所有用户，但这些用户是否在不同的OU中？ 如果重要，这是Windows Server 2003。
可能重复： 防止服务帐户本地或远程login 我有几个帐户被用来运行各种服务，例如SQL.Service ， TFS.Application等等，并希望将这些帐户标记为不支持AD中的交互式login 大概我应该把他们放在一个特定的安全组（我已经创build了一个名为MyOrg.Services ），但我不知道如何将用户标记为服务不是“真正的”用户
是否有办法让员工A 暂时安置在员工B的组中，而员工B是否生病呢？ 是否有办法设置某种types的过期，以便员工A可以代表员工B（拥有更高的职位）工作，然后在到期date到达时自动从组中移除？
我们是一个非常小的公司，一段时间以来，我一直是唯一pipe理我们的域/活动目录的人。 我不是一个系统pipe理员，我是一名软件开发人员，但是我已经为他们做了最好的工作。 现在我们已经有了一个Jr IT Associate的职位，我想把一些Active Directory任务交给他，但是不要他拥有“上帝”的权限。 他不应该有权限创build/删除/编辑DOMAIN ADMIN级帐户，但我希望他能够创build/删除/编辑DOMAIN USER级帐户。 这是可行的吗？ 请让我知道，如果我能帮助使问题更清楚。
有没有办法查看哪个login脚本为AD用户运行，而没有域pipe理员权限。 我试过gpresult，它没有显示任何login/注销脚本，但是我相信这个脚本是在AD用户和计算机的用户configuration文件选项卡下configuration的。 是否有任何logging我可以参考，或者这个login脚本是否存储在本地偶然？
我在没有桌面GUI的Windows 2008服务器上运行Hyper-V主机。 此服务器当前已join到不再存在的域中，并且该networking上还没有该域的域控制器。 使用本地pipe理员帐户，在Windows命令提示符，我试图从非现有的域名退出。 我试过这个命令： netdom remove /d:DomainThatNoLongerExist.COM HYPERVComputerName 我得到这个： The specified domain either does not exist or could not be contacted. The command failed to complete successfully. 我不是“先不join”，而是尝试join到新的现有域中，但是每次尝试时都说已join，但实际上还没有join; 因为新域的名称是前一个域的子域，所以假设它已经join了，这种假设推断给我带来很多麻烦。 那么，有人可以告诉我如何可以取消join这个不存在的域吗？ 顺便说一下，这一点尤其重要，因为我无法通过Hyper-Vpipe理器访问任何当前正在运行的虚拟机，因为它使用客户端的windows-login-credentials自动进行身份validation，而这些证书是用于另一个域而不是hyper-v主机的不存在的域。 我唯一的访问是一个本地pipe理员帐户，我不知道如何在远程计算机上使用Hyper-Vpipe理器中的凭据（我不知道如何在login后在主机上启动Hyper-Vpipe理器本地pipe理员）。