我正在实施一个工具来保护AD林中的某些共享资源（主要是文件共享）。 根据一些标准，会生成来自不同域的用户列表，将这些用户添加到通用组（因为我需要从单个组中的不同域收集用户），然后将该通用组添加到共享资源ACL中。 这个森林大约有一万个用户，我认为我的普及组每个用户最多可以有2000个用户。 而且可能会有几千个这样的团体。 一切看起来不错，并在testing环境中工作。 问题是有一个关于组最佳实践的MS文章： http : //technet.microsoft.com/en-us/library/cc787646(v=ws.10).aspx 几乎相同的写在这里： http : //ss64.com/nt/syntax-groups.html 在“控制跨域共享资源访问的最佳实践”一节中，我们应该创build域本地组，并在其中嵌套全局/通用组。 我明白，它有一个pipe理上的好处，更容易pipe理，能见度等 但是我正在做所有事情的自动化，我的工具将自己监视正确的安全。 我们的一些IT顾问试图说服我，不遵循最佳做法也可能导致业绩不佳。 所以基本上问题是：如果我在共享资源上直接添加通用组，而不是在域本地组中嵌套通用组，那么性能是否会下降（这意味着需要时间来login，以保护目录等）？ 提前致谢。 更新： 嵌套组也有一个限制。 （ http://support.microsoft.com/kb/328889 ）有1015个用户组的限制。 因此，如果将通用组embedded域本地组，我会得到500个限制，这似乎是一个痛苦的限制。 UPDATE2：关于我的森林拓扑。 我有6个域名，分成2棵树。 （树由一个根域和两个子域组成）
我需要向我的域上数以千计的计算机发出CLI命令（cmd.exe或PowerShell）。 出于显而易见的原因，这不涉及手动执行任务，或者实际访问每台机器。 这应该怎么做？
我知道，目前的最佳做法规定，我的Windows AD域名应该是购买的全球唯一名称空间（即ad.namespace.com）的子域。 这很好，很棒。 我的问题是，如果我们的公共域名注册失效，并且有人蹲下了我们的域名（坏人现在拥有namespace.com），那么将会引入哪些潜在的安全漏洞？ 他们可以利用一些DNS voodoo来在ad.namespace.com上妥协我们的内部networking吗？ 一个不知情的最终用户是否可以通过访问一个占用我们蹲下的url的恶意网站来骗取他们不应该做的事情或泄漏敏感的私人域信息？ 有坏的家伙拥有我们的根级域名是否有远程AD身份validation漏洞？ 我可能会因此而感到愤怒，但是让私人的AD域占用一个独立的名字空间，这个名字空间是无法从互联网上访问的，比如whatever.local。 我知道这是讨厌的。 有人请放心。 我已经发送了几天来研究这个问题，但是我找不到任何人分享我对根级域名潜在危害的担忧。 也许我只是nuubi。 提前致谢。
我需要转储Active Directory中的所有组策略，以便以后离线查看。 有没有一种方法可以轻松地将所有组策略导出为文本或其他一些易于parsing的格式？ 编辑：这些工具是否会从不属于域的计算机上运行？ 我有域凭据，但我的工作笔记本电脑不一定是我需要审查的域的一部分。
我们的一位用户目前在海外，她的Active Directory域密码已过期。 她使用caching凭证和（非AD集成）VPN使用笔记本电脑login，但无法使用过期密码login到文件共享或Outlook。 如果我更改密码，我担心它会为笔记本电脑创buildcaching的login问题，而在她离开八个时区时我无法修复。 表示必须更改密码的标志已经设置。 如果我设置她的密码永不过期，是否会阻止她不得不更改密码，或者无论我做什么，她都必须改变密码？ 这里有一个类似的问题表明，将帐户设置为永不过期将会起作用，但是我希望得到一些确认。 编辑：密码永不过期设置只会在她回到办公室之前。 我只是想在她离开的时候让她回到系统，而不会让问题变得更糟。 最终编辑：设置“永不过期”标志解决了问题。 用户将保留她现有的密码，直到她下周返回。
最初的免责声明：我是一个UNIXdevise和贸易的人。 不过，从操作支持/性能调优angular度来看，我已经参与了Windows操作系统至less十年的工作。 我的公司最近收购了另一家公司，我们正在研究在两者之间整合Active Directory的策略。 我们有两个站点之间的站点到站点VPN连接和快速n-dirty名称parsing。 我将不胜感激： 来自同一情况的任何人的build议。 描述高层考虑和技术细节的文章的链接。 陷阱，永不言弃，我希望我已经知道，永远不会，但从来没有logging。
当用户不在时，我们经常需要调整，testing或修复一些软件。 例如，今天我们中的一个人在用户的电脑上build立了一个新的邮件帐户，但用户正在度假。 这就要求我们冒充用户。 当用户不在这里时，在电脑上工作对我们和他们来说都是非常好的。 但是这通常要求我们向他们提供他们的Windows帐户密码，或者在我们使用之前对其进行更改，然后用户在他回来时必须将其更改，但这需要他了解发生了什么事情。 有一个（快速）保存方法，然后恢复Active Directory密码？ 1 – 我们保存密码 2 – 我们将密码更改为TECHPASS123 3 – 我们在电脑上工作，我们testing用户的帐户是否一切正常 4 – 我们恢复原来的密码
我需要协调displayName和CN属性到AD中的givenName和surName字段。 是否有可能采取givenName和surName并重命名显示名称和CN使用Powershell？
我有一个很老的工作组中的几个用户直接login到他们的本地计算机（Windows XP专业版）。 本周他们终于转移到活动目录，而需要login到域帐户。 然而，其中一些用户已经很长时间了，并且在本地机器上的configuration文件中有所投资。 如何将这些configuration文件移动到新的Active Directory帐户，以便像桌面背景，浏览器书签和其他潜在的“隐藏”设置的东西会跟着他们？ 在一种情况下，我们甚至有一个Windows媒体播放器播放列表，我们想要无缝移动，尽pipe如果需要可以很容易地重新创build。
在工作中，我们正处于身份pipe理项目的早期阶段。 这都是在上级的情况下，我们有几千名教职员工和大约两万名学生。 有没有人使用Sun的LDAP服务器与AD域（Kerberos领域）密码存储？ 有没有人在之前运行一个二十五万的AD域？ 我们对身份pipe理的一个select是将活跃的员工推送到AD，并将密码/身份信息的另一个副本推送到LDAP。 如果我们这样做了，我们需要有一个中心位置来更改密码，这样，如果您更改您的AD（或ldap）密码，则更改会同步到另一个（或允许分歧） 另一种select是让AD成为密码的唯一权威机构，然后我们必须为所有的关联公司（以及所有的老关联公司）在十年或二十年内拥有一个负责人，所以我们可能在AD有二十五万个实体，其中只有20-30k将被访问任何频率。 AD会在负荷下爆炸吗？ 是否有其他方法来保持Sun的LDAP和AD之间的密码同步？ 别人的经验是什么？