在Windows安全组中如何取舍嵌套处理

如果在排除权限问题导致的故障时，发现嵌套的全局安全组是罪魁祸首。嵌套的全局安全组会导致很多问题，特别是在拒绝权限开始生效的时间上。考虑到大量基于组策略拒绝权限的存在，整个追查过程可能会相当繁琐。

对于活动目录域来说，你是否应该容许嵌套全局安全组的操作？乍看起来，对于大多数工具来说，对组成员进行故障排除相当复杂。很多工具都有报告的权力，但如果这里存在一个嵌套组的话，就不是必须的了，比组成员的情况更简单。

我很想说禁止对组成员进行嵌套处理，但只有在偶然的情况下，这种做法才有意义。根据个人对专业管理的认识，在限制嵌套组成员方面，我建议使用下面的指导规则：

1、禁止组成员进行超过两级的嵌套。

2、一个安全组内的“成员”不能有超过两种设置属性。

3、嵌套的安全组将不能包含拥有拒绝权限的指定群体。

4、嵌套的全局安全组不能是一个拥有高级权限的组。

这是基本原则，但并不意味着对嵌套全局安全组的所有有效使用进行全面限制。这些指导的关键是权限***原则，不增加故障排除过程的负担，并且减少由于权限以外过度分配带来的风险。限制嵌套组的使用也将有助于防止与令牌大小有关的问题出现。

关于偶然情况下出现的问题，***的例子就是，当你需要向全局安全组中添加一个计算机账户时，如果用户帐户和计算机帐户在同一个安全组混合，情况就会变得比较难办。另一种情况会在内置组（来自本地计算机系统）在和域用户帐户相结合以便进行单独处理的时间发生。在这些情况中，嵌套操作可以象其它工具一样对特定配置进行有效的处理。