Windows Server2003のAGDLPの考え方

質問

Windows Server2003のAGDLPがどうしても理解できません。考えてみたのですが、間違いがありましたらどうか指摘していただけると助かります。

例えば、営業1課の田中さんというユーザと営業2課の佐藤さんというユーザがいるとします。
A・・・佐藤と鈴木がユーザです。
G・・・営業1課のGに田中さんを、営業2課のGに佐藤さんを追加します。
DL・・・「営業部用フォルダ読み取り専用」というドメインローカルグループを作成する
P・・・「営業部」フォルダに「営業部用フォルダ読み取り専用」のアクセス権を与えることにより、これで営業1課の田中と営業2課の佐藤に読み取りアクセス権が与えられます。

ここで営業2課専用の「営業２課」フォルダを作成したとします。今までの「営業部」フォルダは営業1課のものにして、「営業２課」フォルダは営業2課のものにするとします。

「営業部」フォルダのDLの「営業部用フォルダ読み取り専用」から営業2課のGを削除して、「営業２課」フォルダに営業２課のGを追加することにより、柔軟なアクセス権を与えることが可能になる。

以上になりますが、私の認識が間違っていないかどうかご指摘をお願いします。よろしくお願いいたします。

回答No.1

tochanboo · ベストアンサー

誰も答えていないので、私の拙い知識の範囲でお答えします。

Pの考え方が違います。
この場合のPは、「営業部」フォルダに「営業部フォルダ読み取り専用のアクセス権を与える」DLグループに対してのPです。

尤も、どちらのフォルダにもEveryoneグループがアクセス許可に入っていたら、
意味はないでしょうが。

基本的には、AGDLPはフォレスト内に一つ以上のドメインを構成するシステムで、
ほかのドメイン内にも、このDLグループのアクセス権設定が出来るということです。

また、営業部フォルダ（親）の下に営業二課フォルダ（子）を作成するのか、
営業二課フォルダ（親）を作成するのか、でもアクセス権は違ってきます。

親フォルダで作成したら、営業フォルダから「営業二課G」のグローバルグループを削除したら、何の意味も無い事になりませんでしょうか？

A　→　G（グローバルグループに入れる）→　DL（同じ条件のGグループをDLに入れ子にする）←　アクセス権Pを与える

補足

Pの考えが間違っていたんですね。ご指摘ありがとうございます。

この例の場合、DL「営業部用フォルダ読み取り専用」にアクセス権Pを与える
ここで営業2課専用の「営業２課」フォルダを作成したとします。今までの「営業部」フォルダは営業1課のものにして、「営業２課」フォルダは営業2課のものにするとします。

「営業部」フォルダのDLの「営業部用フォルダ読み取り専用」から営業2課のGを削除して、「営業２課」フォルダに営業２課のGを追加することにより、柔軟なアクセス権を与えることが可能になる。

以上がAGDLPに沿った考えになりますでしょうか？

どうしてもあまり理解ができずこまっています。よろしくおねがいします。