IT Arbejde.. AD: Hvordan deler i brugerne op?

Af Bruger Aspirant AGN87 | 12-09-2017 09:45 | 1518 visninger | 8 svar, hop til seneste

Hejsa! Den tidligere IT chef, oprettede selv AD strukturen og nu hvor han er væk, så vil jeg gerne prøve på, at lave lidt mere orden i tingene.. Jeg har derfor mere eller mindre ansvaret og derved frit leje til at, at designe vores AD struktur. Strukturen ser således ud: https://imgur.com[...] Jeg har selv oprettet OU'en som hedder Arbejdspladser og undergrupperne for, at skabe overblik, give et bedre flow og gøre det meget lettere at lave Group Policies hertil. Med det sagt, her er min problemstilling: En afdelingschef kom og spurgte mig om jeg ikke kunne lave sådan så, hans medarbejdere automatisk fik tildelt de korrekte printere / genveje osv. når de skifter computer- i HANS afdeling. Min løsning ville være, at gøre som jeg har gjort med Logistics OU'en.. Placere brugernes computer deri for så at oprette en Group Policy (Computer Conf) til at klare dette. Mit irritations problem er: Forestil jer, I har flere afdelinger med medarbejdere i.. F.eks. 10 afdelinger med +10 brugere i hver, hvor hver afdeling har bestemte setups - så som printere. Vil den letteste løsning derved være at lave en 1:1 løsning? Forstået sådan, med 10 afdelinger, så laves der også 10 tilsvarende OUs til dette formål? Er det den korrekte måde at gøre tingene på in real life ? I større virksomheder, hvis man lavede det sådan, afhængig af virksomhedens størrelse, så må ens AD struktur og størrelse være.. KÆMPE??? Sidder selv i en lille virksomhed (+200 medarbejdere) hvorpå min løsning jeg nævnte foroven er ganske enkelt og lige til. Men er det den rette måde at gribe sådan noget an på? Vil gerne lære den korrekte måde, at gøre tingene på, hvis I forstår :) På forhånd tak!
--

#1
|Smash|
Forumansvarlig
12-09-2017 09:56

Rapporter til Admin

OU er mindre vigtige, grupper er vejen frem. Vores er opdelt i afdelinger, men det er for overblikkets skyld - der bliver ikke applied en speciel GPO til hver OU. Hver afdeling har sin egen gruppe og den gruppe er så medlem af x-antal grupper, som giver dem de rettigheder, som afdelingen har brug for. Derudover har man typisk en gruppe til chefer eller tilsvarende, der giver nogle ekstra rettigheder (eller drev). I stedet styres adgange (netværksdrev, filrettigheder, printere, etc.) via grupper, så du i din GPO (specifikt i GPP-delen), laver item-level targeting. Ud fra et performance-hensyn, bør man kun have 1-2 GPO'er. En GPO tager nemlig samme tid at løbe igennem, uanset om du kun har sat 1 indstilling i den eller 100. I praksis vil man for overblikkets skyld nok have lidt flere, men man skal sørge for at holde det til et minimum. Jeg skal gerne uddybe det mere senere på dagen.
--
Bazinga! Problemer med en Admin/Moderator? Spørgsmål vedr. en tråd/et indlæg? - Send en mail til undertegnede. FFHAU!
--

Sidst redigeret 12-09-2017 09:59

#2
FreZno
Gæst
12-09-2017 10:19

Rapporter til Admin

Samme som #1 her. Vores brugere i AD er delt op i 3 OU'er, og det er udelukkende pga levn fra gamle dage. I dag kunne de snildt placeres i samme OU uden problemer. Vi har vel 700 ansatte fordelt på 12-14 lande i alt. Grupper og GPO'er er markant nemmere at styre og langt mere fleksibelt. Eksempelvis vil din OU-opbygning blive udfordret ved projektarbejde på tværs af afdelinger. Person X fra afdeling A skal sidde i afdeling B 2 dage i ugen, og skal have adgang til drev og printere fra begge afdelinger. Uendeligt bøvlet at styre på OU, og ender med manuelt fnidder på brugeren. Det styres mere elegant via grupper
--
Gæstebruger, opret dit eget login og få din egen signatur.

#3
AGN87
Bruger Aspirant
12-09-2017 10:30

Rapporter til Admin

Så det i siger er, holde det forholdsvis lavt med OU'er og også group policies, men benytte grupper istedet for? Det gør jeg/vi allerede en del.. Jeg vil sige det er ca. 50/50 nu her. Tildeling af f.eks. printer via grupper. Er dette ikke farligt? F.eks. vi har en afdeling i Kina. Skulle en af os fra DK til Kina, så vil personen forsat være koblet op til printer i DK = belastning på netværket. Er dette noget man som admin så selv skal ind og fin justere osv?
--

Sidst redigeret 12-09-2017 10:31

#4
|Smash|
Forumansvarlig
12-09-2017 10:46

Rapporter til Admin

#4 - Ja, det ville det være. Man behøver ikke sætte standard-printeren, men nøjes med at tilføje dem. Så kan brugerne selv vælge deres standard-printer. Det er en fin løsning til brugere med skiftende arbejdspladser. Vi bruger en "follow-me" print løsning, så brugerne har kun 1 printer installeret, så ovenstående er ikke et problem. Brugerne kan så med deres adgangskort selv vælge hvor de vil printe.
--
Bazinga! Problemer med en Admin/Moderator? Spørgsmål vedr. en tråd/et indlæg? - Send en mail til undertegnede. FFHAU!

#5
SavedMen
Megabruger
12-09-2017 12:40

Rapporter til Admin

Når I har flere fysiske lokationer, med mulighed for blandet båndbredde, burde I også implementere sites og RODC'ere, hvis brugerne oplever lange logontider.
--

#6
Triplecity
Bruger Aspirant
12-09-2017 14:37

Rapporter til Admin

+1 til #1. Holder OU'erne nede og bruger sikkerheds grupper til resten. Let at danne sig et overblik og hurtigt til tilføje / fjerne medlemskaber. Edit: Smash, vil du uddybe det lidt mere, det med at holde GPO antallet nede? Ikke noget jeg mindes jeg har hørt om på mine nu tre MCSA's, så ville være sweet, hvis jeg kunne lære noget nyt på den front. :)
--

Sidst redigeret 12-09-2017 14:39

#7
AGN87
Bruger Aspirant
12-09-2017 15:25

Rapporter til Admin

Nu har jeg bikset lidt, hvor jeg prøver at gøre det via grupper og kan sgu ikke få det til at virke :/ I GPO'en, fjerner I auth users og så blot indtaster gruppens navn med brugerne i? Virker ikke for mig, men så snart jeg tilføjer auth users, så virker det hmm..
--

#8
|Smash|
Forumansvarlig
12-09-2017 15:29

Rapporter til Admin

#7 - Det er ikke sort/hvidt, men denne artikel er nyttig. https://technet.microsoft.com[...] Det der startede det hele var et projekt med at nedbringe logon-tiderne for brugerne i et full-desktop XenApp miljø. Når projektet var "færdigt", ville GPO'erne være ret statiske og vi var derfor lidt ligeglade med den løbende gpupdate tid. Og det har jeg forsøgt at holde ved siden, holdt ændringer af GPO til at minimum efter de var testet og Done™.
--
Bazinga! Problemer med en Admin/Moderator? Spørgsmål vedr. en tråd/et indlæg? - Send en mail til undertegnede. FFHAU!