本地计算机内置默认组

AD中默认组的权限和权利默认组是指AD中自动创建的组，通常这些组位于Builtin和User容器中。

这些组不同于自定义组，都具有一些管理特权的受保护的组，意味着这些组的成员也会受到保护。

而这种保护是系统定义，无法撤销。

例如，一个用户账户User，它隶属于Domain Admins 组，同时它也是Sales OU成员，这时对Sales OU所有用户执行重置密码操作，但User 用户的密码不会被重置。

所以在实际生产环境中，应尽量避免将用户加入到这些默认组中，应创建自定义的组，并根据实际管理需求分配能完成目标的最小化的管理权限。

这些默认组的具体权限和权利如下：-）Enterprise Admins（位于林根域的Users容器内）：该组在林中每个域内都是Administrators组的成员，因此对所有域控制器都有完全访问权。

另外该组还可访问目录的Configuration分区，对所有林和域的域名环境都有完全控制权。

-）Schema Admins（位于林根域的Users容器内）：该组拥有并可瓦全控制Active Directory架构。

-）Administrators（位于每个域的Builtin容器中）：该组可对所有域控制器和域名环境的所有数据具有完全控制权。

该组成员可以更改Enterprise Admins、Schem Admins和Domain Admins组的成员关系。

林根域中的Administrators组可以说是林中强大的服务管理组。

-）Domain Admins（位于每个域的Users容器内）：该组会被加入自己所在域中的Administrators组，因此可以继承Administrators 祖的所有能力。

同时该组默认会被添加到每台域成员计算机的本地Administrators组中，这样Domain Admins就对域中的所有计算机拥有了所有权。

-）Server Operaters（位于每个域的Builtin容器内）：该组成员可在域控制器上执行维护任务，可以本地登录，启动和停止服务，执行备份和还原操作，格式化磁盘，创建或删除共享，并能关闭域控制器。

Windows 操作系统六大顾客组及系统帐户权限功效设立分析在Windows 系统中，顾客名和密码对系统安全的影响毫无疑问是最重要。

通过一定方式获得计算机顾客名，然后再通过一定的办法获取顾客名的密码，已经成为许多黑客的重要攻击方式。

即使现在许多防火墙软件不端涌现，功效也逐步加强，但是通过获取顾客名和密码的攻击方式仍然时有发生。

其实通过加固Windows 系统顾客的权限，在一定程度上对安全有着很大的协助。

Windows 是一种支持多顾客、多任务的操作系统，不同的顾客在访问这台计算机时，将会有不同的权限。

同时，对顾客权限的设立也是是基于顾客和进程而言的，Windows 里，顾客被分成许多组，组和组之间都有不同的权限，并且一种组的顾客和顾客之间也能够有不同的权限。

下列就是常见的顾客组。

ers普通顾客组，这个组的顾客无法进行故意或无意的改动。

因此，顾客能够运行通过验证的应用程序，但不能够运行大多数旧版应用程序。

Users 组是最安全的组，由于分派给该组的默认权限不允许组员修改操作系统的设立或顾客资料。

Users 组提供了一种最安全的程序运行环境。

在通过NTFS 格式化的卷上，默认安全设立旨在严禁该组的组员危及操作系统和已安装程序的完整性。

顾客不能修改系统注册表设立、操作系统文献或程序文献。

Users 能够创立本地组，但只能修改自己创立的本地组。

Users 能够关闭工作站，但不能关闭服务器。

2.Power Users高级顾客组，Power Users 能够执行除了为Administrators 组保存的任务外的其它任何操作系统任务。

分派给Power Users 组的默认权限允许Power Users 组的组员修改整个计算机的设立。

但Power Users 不含有将自己添加到Administrators 组的权限。

在权限设立中，这个组的权限是仅次于Administrators 的。

3.Administrators管理员组，默认状况下，Administrators 中的顾客对计算机/域有不受限制的完全访问权。

1、本地域组：多域用户访问单域资源（访问同一个域）本地域组的成员可包括Windows Server2003、Windows 2000或WindowsNT域中的其他组和账户，而且只能在其所在域内指派权限。

2、全局组：单域用户访问多域资源（必须是一个域里面的用户）全局组的成员可包括其所在域中的其他组和账户，而且可在林中的任何域中指派权限；3、通用组：多域用户访问多域资源通用组的成员可包括域树或林中任何域的其他组和账户，而且可在该域树或林中的任何域中指派权限；当域功能级别设置为Windows2000混合模式时，不能创建具有通用组的安全组。

本地域组：可以从任何域添加用户账户、通用组和全局组。

域本地组不能嵌套于其他组中。

它主要是用于授予位于本域资源的访问权限。

全局组：只能在创建该全局组的域上进行添加用户账户和全局组，但全局组可以嵌套在其他组中。

可以将某个全局组添加到同一个域上的另一个全局组中，或添加到其他域的通用组和域本地组中（注意这里不能它加入到不同域的全局组中，全局组只能在创建它的域中添加用户和组）。

虽然可以利用全局组授予访问任何域上的资源的权限，但一般不直接用它来进行权限管理。

通用组：通用组是集合了上面两种组的优点，即可以从任何域中添加用户和组，可以嵌套于其他域组中。

比如：有两个域，A和B，A中的5个财务人员和B中的3个财务人员都需要访问B中的“FINA”文件夹。

这时，可以在B中建一个DL，因为DL的成员可以来自所有的域，然后把这8个人都加入这个DL，并把FINA的访问权赋给DL。

这样做的坏处是什么呢？因为DL 是在B域中，所以管理权也在B域，如果A域中的5个人变成6个人，那只能A域管理员通知B域管理员，将DL的成员做一下修改，B域的管理员太累了。

这时候，我们改变一下，在A和B域中都各建立一个全局组（G），然后在B域中建立一个DL，把这两个G都加入B域中的DL中，然后把FINA的访问权赋给DL。

哈哈，这下两个G组都有权访问FINA文件夹了，是吗？组嵌套造成权限继承嘛！这时候，两个G分布在A和B域中，也就是A和B的管理员都可以自己管理自己的G啦，只要把那5个人和3个人加入G中，就可以了！以后有任何修改，都可以自己做了，不用麻烦B域的管理员！这就是A-G-DL-P。