Définir un mode de délégation centralisé (2)

NYUsrMgr
et NY-CompMgr. La figure 4
montre ces exemples de groupes et la
structure de mon OU New York hypothétique.
Accordez à  ces groupes les
permissions que vous avez définies
pour ce rôle. Le groupe local de domaine
NY-OUMgr, par exemple, aura
des permissions Read All Properties,
Write All Properties, Create All Child
Objects et Delete All Child Objects sur
toute l’OU New York, comme le
montre la figure 5. Aucune de ces permissions
n’autorise un membre du
groupe à  modifier les permissions existantes.
Quand je mets le compte de
Chip dans le groupe local de domaine
NY-OUMgr, il aura le contrôle presque
complet sur les objets présents dans
cette OU et il pourra donner à  un autre
utilisateur l’un des droits définis, simplement
en ajoutant l’utilisateur au
groupe correspondant. En fait, vous
pourriez avoir un groupe local de domaine
appelé NY-RoleMgr et le valider
simplement en donnant à  ce groupe
les permissions Read Members et Write
Members pour les objets de groupe sur
l’OU Admin New York. En aucun cas
l’un de ces membres de groupe ne
peut modifier les permissions que
vous avez définies centralement.

Si cette approche vous semble
convaincante pour votre entreprise,
vous voudrez probablement atteindre
un niveau de cohérence encore plus
grand par l’automatisation. Certaines
entreprises écrivent des scripts custom
qui créent les OU et les groupes locaux
de domaine et attribuent les permissions
correctes automatiquement. Des outils tierce partie peuvent aussi vous
aider à  gérer vos OU et vos permissions.
(Pour plus d’informations sur de
tels outils de gestion, voir l’encadré
« Outils pour gérer la délégation d’AD »).