Grupy zabezpieczeń usługi Active Directory

W tym artykule omówiono domyślne grupy zabezpieczeń usługi Active Directory, zakres grupy i funkcje grupy.

Co to jest grupa zabezpieczeń w usłudze Active Directory?

Usługa Active Directory ma dwie typowe formy podmiotów zabezpieczeń: konto użytkownika i konto komputera. Te konta reprezentują jednostkę fizyczną, która jest osobą lub komputerem. Konto użytkownika może być również używane jako dedykowane konto usługi dla niektórych aplikacji.

Grupy zabezpieczeń to sposób zbierania kont użytkowników, kont komputerów i innych grup w jednostki, którymi można zarządzać.

W systemie operacyjnym Windows Server kilka wbudowanych kont i grup zabezpieczeń jest wstępnie skonfigurowanych z odpowiednimi prawami i uprawnieniami do wykonywania określonych zadań. W usłudze Active Directory obowiązki administracyjne są podzielone na dwa typy administratorów:

• Administratorzy usług: odpowiedzialny za utrzymanie i dostarczanie usług Active Directory Domain Services (AD DS), w tym zarządzanie kontrolerami domeny i konfigurowanie usług AD DS
• Administratorzy danych: Odpowiedzialny za utrzymywanie danych przechowywanych w usługach AD DS i na serwerach i stacjach roboczych należących do domeny

Jak działają grupy zabezpieczeń usługi Active Directory

Grupy umożliwiają zbieranie kont użytkowników, kont komputerów i innych grup w jednostkach, którymi można zarządzać. Praca z grupami, a nie z indywidualnymi użytkownikami, pomaga uprościć konserwację sieci i administrowanie nią.

Usługa Active Directory ma dwa typy grup:

• Grupy zabezpieczeń: służy do przypisywania uprawnień do zasobów udostępnionych.
• Grupy dystrybucyjne: służy do tworzenia list dystrybucyjnych poczty e-mail.

Grupy zabezpieczeń

Grupy zabezpieczeń mogą zapewnić wydajny sposób przypisywania dostępu do zasobów w sieci. Korzystając z grup zabezpieczeń, można:

• Przypisz prawa użytkownika do grup zabezpieczeń w usłudze Active Directory.

  Możesz przypisać prawa użytkownika do grupy zabezpieczeń, aby określić, co członkowie tej grupy mogą robić w kontekście domeny lub lasu. Prawa użytkownika są automatycznie przypisywane do niektórych grup zabezpieczeń, gdy usługa Active Directory jest zainstalowana, aby ułatwić administratorom zdefiniowanie roli administracyjnej osoby w domenie.

  Na przykład użytkownik dodany do grupy Operatorzy kopii zapasowych w usłudze Active Directory może utworzyć kopię zapasową plików i katalogów znajdujących się na każdym kontrolerze domeny w domenie. Użytkownik może wykonać te czynności, ponieważ domyślnie prawa użytkownika Tworzenie kopii zapasowej plików i katalogów oraz Przywracanie plików i katalogów są automatycznie przypisywane do grupy Operatorzy kopii zapasowych. W związku z tym członkowie tej grupy dziedziczą prawa użytkownika przypisane do tej grupy.

  Za pomocą zasad grupy można przypisywać prawa użytkowników grupom zabezpieczeń w celu delegowania określonych zadań. Aby uzyskać więcej informacji na temat korzystania z zasad grupy, zobacz Przypisywanie praw użytkownika.

• Przypisz uprawnienia grupom zabezpieczeń do zasobów.

  Uprawnienia różnią się od praw użytkownika. Uprawnienia są przypisywane do grupy zabezpieczeń dla zasobu udostępnionego. Uprawnienia określają, kto może uzyskać dostęp do zasobu i poziom dostępu, na przykład Pełna kontrola lub Odczyt. Niektóre uprawnienia ustawione dla obiektów domeny są przypisywane automatycznie, aby umożliwić różne poziomy dostępu do domyślnych grup zabezpieczeń, takich jak grupa Operatorzy kont lub grupa Administratorzy domeny.

  Grupy zabezpieczeń są wymienione na listach kontroli dostępu (DACLS), które definiują uprawnienia do zasobów i obiektów. Gdy administratorzy przypisują uprawnienia do zasobów, takich jak udziały plików lub drukarki, powinni przypisać te uprawnienia do grupy zabezpieczeń, a nie do poszczególnych użytkowników. Uprawnienia są przypisywane raz do grupy, a nie wiele razy do każdego użytkownika z osobna. Każde konto dodane do grupy otrzymuje prawa przypisane do tej grupy w usłudze Active Directory. Użytkownik otrzymuje uprawnienia, które są zdefiniowane dla tej grupy.

Możesz użyć grupy zabezpieczeń jako obiektu e-mail. Wysłanie wiadomości e-mail do grupy zabezpieczeń powoduje wysłanie wiadomości do wszystkich członków grupy.

Grupy dystrybucyjne

Grup dystrybucyjnych można używać wyłącznie do wysyłania wiadomości e-mail do kolekcji użytkowników przy użyciu aplikacji poczty e-mail, takiej jak Exchange Server. Grupy dystrybucyjne nie są grupami zabezpieczeń, więc nie można ich dołączać do list DACL.

Zakres grupy

Każda grupa ma zakres, który identyfikuje zakres, w jakim grupa jest stosowana w drzewie domeny lub lesie. Zakres grupy definiuje obszary sieci, w których można udzielić uprawnień dla grupy. Usługa Active Directory definiuje następujące trzy zakresy grup:

• Universal
• Global
• Domena lokalna

W poniższej tabeli opisano trzy zakresy grup i sposób ich działania jako grup zabezpieczeń:

Specjalne grupy identyfikatorów

Specjalna grupa tożsamości polega na tym, że niektóre tożsamości specjalne są grupowane razem. Specjalne grupy tożsamości nie mają określonych członkostw, które można modyfikować, ale mogą reprezentować różnych użytkowników w różnych momentach w zależności od okoliczności. Te grupy obejmują Creator Owner, Batch i Authenticated User.

Aby uzyskać więcej informacji, zobacz Specjalne grupy identyfikatorów.

Domyślne grupy zabezpieczeń

Grupy domyślne, takie jak administratorzy domeny, to grupy zabezpieczeń tworzone automatycznie podczas tworzenia domeny usługi Active Directory. Te wstępnie zdefiniowane grupy mogą ułatwić kontrolowanie dostępu do zasobów udostępnionych i delegowanie określonych ról administracyjnych w całej domenie.

Wiele grup domyślnych jest automatycznie przypisanych do zestawu praw użytkownika. Te prawa autoryzować członków grupy do wykonywania określonych akcji w domenie, takich jak logowanie się do systemu lokalnego lub tworzenie kopii zapasowych plików i folderów. Na przykład członek grupy Operatorzy tworzenia kopii zapasowych może wykonywać operacje tworzenia kopii zapasowych dla wszystkich kontrolerów domeny w domenie.

Po dodaniu użytkownika do grupy otrzymuje on wszystkie prawa użytkownika przypisane do grupy, w tym wszystkie uprawnienia przypisane do grupy dla wszelkich zasobów udostępnionych.

Grupy domyślne znajdują się w kontenerze Builtin lub Kontener Users w narzędziu Użytkownicy i komputery usługi Active Directory. Kontener Builtin zawiera grupy, które są zdefiniowane w zakresie Domain Local. Kontener Użytkownicy zawiera grupy zdefiniowane przy użyciu zakresu globalnego i grupy zdefiniowane przy użyciu zakresu lokalnego domeny. Grupy znajdujące się w tych kontenerach można przenosić do innych grup lub jednostek organizacyjnych w domenie. Nie można jednak przenieść ich do innych domen.

Niektóre grupy administracyjne wymienione w tym artykule i wszyscy członkowie tych grup są chronieni przez proces w tle, który okresowo sprawdza i stosuje określony deskryptor zabezpieczeń. Ten deskryptor to struktura danych zawierająca informacje o zabezpieczeniach skojarzonych z chronionym obiektem. Ten proces gwarantuje, że każda udana nieautoryzowana próba zmodyfikowania deskryptora zabezpieczeń na jednym z kont administracyjnych lub grup administracyjnych zostanie zastąpiona chronionymi ustawieniami.

Deskryptor zabezpieczeń znajduje się w obiekcie AdminSDHolder. Jeśli chcesz zmodyfikować uprawnienia w jednej z grup administratorów usługi lub na dowolnym z jej kont członkowskich, musisz zmodyfikować deskryptor zabezpieczeń w obiekcie AdminSDHolder, tak aby był stosowany spójnie. Zachowaj ostrożność podczas wprowadzania tych modyfikacji, ponieważ zmieniasz również ustawienia domyślne, które są stosowane do wszystkich chronionych kont administracyjnych.

Każda domyślna grupa zabezpieczeń ma unikatowy identyfikator składający się z wielu składników. Wśród tych składników jest względny identyfikator (RID), który jest unikatowy w domenie grupy.

Domyślne grupy zabezpieczeń usługi Active Directory

Poniższe linki prowadzą do opisów domyślnych grup znajdujących się w kontenerze Builtin lub Kontener Users w usłudze Active Directory.

• Operatorzy pomocy w kontroli dostępu
• Operatory kont
• Administrators
• Dozwolona replikacja haseł kontrolera RODC
• Operatorzy kopii zapasowych
• Dostęp DCOM do usługi certyfikatów
• Wydawcy certyfikatów
• Klonowalne kontrolery domeny
• Operatory kryptograficzne
• Odrzucona replikacja hasła kontrolera RODC
• Właściciele urządzeń
• Administratorzy DHCP
• Użytkownicy DHCP
• Rozproszeni użytkownicy COM
• DnsUpdateProxy
• DnsAdmins
• Administratorzy domeny
• Komputery domeny
• Kontrolery domeny
• Goście domeny
• Użytkownicy domeny
• Administratorzy przedsiębiorstwa
• Administratorzy kluczy firmowych
• Kontrolery domeny tylko do odczytu w przedsiębiorstwie
• Czytniki dziennika zdarzeń
• Właściciele twórcy zasad grupy
• Guests
• Hyper-V administratorzy
• IIS_IUSRS
• Incoming Forest Trust Builders
• Administratorzy kluczy
• Operatorzy konfiguracji sieci
• Użytkownicy dzienników wydajności
• Użytkownicy Monitora wydajności
• Dostęp zgodny z systemami starszymi niż Windows 2000
• Operatory drukowania
• Chronieni użytkownicy
• Serwery RAS i IAS
• Serwery punktów końcowych RDS
• Serwery zarządzania RDS
• Serwery zdalnego dostępu RDS
• Kontrolery domeny tylko do odczytu
• Użytkownicy pulpitu zdalnego
• Użytkownicy zdalnego zarządzania
• Replicator
• Administratorzy schematów
• Operatory serwera
• Administratorzy funkcji Storage Replica
• Konta zarządzane przez system
• Serwery licencji usług terminalowych
• Users
• Windows Authorization Access
• WinRMRemoteWMIUsers__

Operatorzy wsparcia kontroli dostępu

Członkowie tej grupy mogą zdalnie odpytywać atrybuty autoryzacji i uprawnienia dotyczące zasobów na komputerze. Ta funkcja może ujawniać szczegóły dotyczące dostępu innych użytkowników, w tym administratorów. Nie możesz zmienić nazwy, usunąć ani usunąć z tej grupy.

Operatory kont

Grupa Operatorzy kont przyznaje użytkownikowi ograniczone uprawnienia do tworzenia kont. Członkowie tej grupy mogą tworzyć i modyfikować większość typów kont, w tym konta użytkowników, grupy lokalne i grupy globalne. Członkowie grupy mogą logować się lokalnie do kontrolerów domeny.

Członkowie grupy Operatorzy kont nie mogą modyfikować praw użytkownika. Ponadto członkowie tej grupy nie mogą zarządzać następującymi kontami i grupami:

• Konto użytkownika Administrator
• Konta użytkowników należące do administratorów
• Administrators
• Operatory serwera
• Operatory kont
• Operatorzy kopii zapasowych
• Operatory drukowania

Nie można zmienić nazwy tej grupy, usunąć jej ani usunąć z listy.

Administrators

Członkowie grupy Administratorzy mają pełny i nieograniczony dostęp do komputera. Jeśli komputer zostanie promowany na kontroler domeny, członkowie grupy Administratorzy mają nieograniczony dostęp do domeny.

Dozwolona replikacja haseł na kontroler RODC

Celem tej grupy zabezpieczeń jest zarządzanie zasadą replikacji haseł kontrolera domeny tylko do odczytu (RODC). Ta grupa nie ma domyślnie żadnych członków. W związku z tym nowe kontrolery RODC nie buforują poświadczeń użytkownika. Grupa Odrzucona replikacja haseł kontrolera RODC zawiera różne konta i grupy zabezpieczeń o wysokich uprawnieniach. Grupa „Denied RODC Password Replication” zastępuje grupę „Allowed RODC Password Replication”. Nie można zmienić nazwy tej grupy, usunąć jej ani wykluczyć.

Operatory kopii zapasowych

Członkowie grupy Operatorzy kopii zapasowych mogą tworzyć kopie zapasowe i przywracać wszystkie pliki na komputerze, niezależnie od uprawnień, które chronią te pliki. Operatorzy kopii zapasowych mogą również zalogować się i zamknąć komputer. Nie można zmienić nazwy tej grupy, usunąć jej ani usunąć z niej. Domyślnie ta wbudowana grupa nie ma żadnych członków i może wykonywać operacje tworzenia kopii zapasowych i przywracania na kontrolerach domeny. Członkowie następujących grup mogą modyfikować członkostwo w grupie Operatorzy kopii zapasowych: domyślni administratorzy usługi, Administratorzy domeny w domenie i Administratorzy przedsiębiorstwa. Członkowie grupy Operatorzy kopii zapasowych nie mogą modyfikować członkostwa żadnych grup administracyjnych. Mimo że członkowie tej grupy nie mogą zmieniać ustawień serwera ani modyfikować konfiguracji katalogu, mają uprawnienia potrzebne do zastępowania plików (w tym plików systemu operacyjnego) na kontrolerach domeny. Ponieważ członkowie tej grupy mogą zastępować pliki na kontrolerach domeny, są uważane za administratorów usług.

Dostęp DCOM do usługi certyfikatów

Członkowie tej grupy mogą łączyć się z centrami certyfikacji w przedsiębiorstwie. Umożliwia wywołania umożliwiające wydawanie certyfikatów, co może powodować problemy w dalszej części ze względu na dużą liczbę generowanych certyfikatów. Nie możesz zmienić nazwy, usunąć ani usunąć z tej grupy.

Wydawcy certyfikatów

Członkowie grupy Wydawcy certyfikatów są autoryzowani do publikowania certyfikatów dla obiektów użytkowników w usłudze Active Directory. Korzystając z tej grupy, członkowie mogą tworzyć dużą ilość danych AD lub usuwać certyfikaty, które są wymagane. Nie możesz zmienić nazwy, usunąć ani odłączyć tej grupy.

Klonowalne kontrolery domeny

Członkowie grupy Kontrolery domeny z możliwością klonowania, którzy są kontrolerami domeny, mogą być klonowani. W systemach Windows Server 2012 R2 i Windows Server 2012 można wdrażać kontrolery domeny, kopiując istniejący wirtualny kontroler domeny. W środowisku wirtualnym nie można wielokrotnie tworzyć obrazu serwera przygotowanego za pomocą narzędzia Sysprep.exe. Podwyższenie poziomu serwera do kontrolera domeny, a następnie wypełnienie większej liczby wymagań konfiguracyjnych dotyczących wdrażania każdego kontrolera domeny (w tym dodanie wirtualnego kontrolera domeny do tej grupy zabezpieczeń) również nie jest dozwolone. Nie można zmienić nazwy tej grupy, usunąć jej ani usunąć z niej.

Aby uzyskać więcej informacji, zobacz Safely virtualizing Active Directory Domain Services (AD DS).

Operatory kryptograficzne

Członkowie tej grupy są uprawnieni do wykonywania operacji kryptograficznych. Ta grupa zabezpieczeń konfiguruje zaporę systemu Windows dla protokołu IPsec w trybie typowych kryteriów. Nie można zmienić nazwy tej grupy, usunąć jej ani usunąć z niej.

Odmowa replikacji hasła w kontrolerze RODC

Nie można replikować haseł członków grupy Odmowa replikacji haseł na kontrolerach RODC do żadnego kontrolera RODC.

Celem tej grupy zabezpieczeń jest zarządzanie zasadami replikacji haseł kontrolera RODC. Ta grupa zawiera różne konta i grupy zabezpieczeń o wysokich uprawnieniach. Grupa odmowy replikacji haseł kontrolera RODC zastępuje grupę Dozwolonej replikacji haseł kontrolera RODC.

Właściciele urządzeń

Jeśli grupa Właściciele urządzeń nie ma żadnych członków, zalecamy, aby nie zmieniać domyślnej konfiguracji tej grupy zabezpieczeń. Zmiana konfiguracji domyślnej może utrudnić przyszłe scenariusze, które opierają się na tej grupie. Grupa Właściciele urządzeń nie jest obecnie używana w systemie Windows.

Administratorzy DHCP

Członkowie grupy Administratorzy DHCP mogą tworzyć, usuwać i zarządzać różnymi obszarami zakresu serwera. Prawa grupy obejmują możliwość tworzenia kopii zapasowych i przywracania bazy danych protokołu DHCP (Dynamic Host Configuration Protocol). Mimo że ta grupa ma uprawnienia administracyjne, nie należy do grupy Administratorzy, ponieważ ta rola jest ograniczona do usług DHCP.

Użytkownicy DHCP

Członkowie grupy Użytkownicy DHCP mogą zobaczyć, które zakresy są aktywne lub nieaktywne, łącznie z przypisanymi adresami IP. Członkowie grupy mogą również wyświetlać problemy z łącznością, jeśli serwer DHCP nie jest poprawnie skonfigurowany. Ta grupa jest ograniczona do dostępu do serwera DHCP tylko do odczytu.

Użytkownicy rozproszonego modelu COM

Członkowie grupy Użytkownicy rozproszonego modelu COM mogą uruchamiać, aktywować i używać obiektów Modelu obiektów rozproszonych (DCOM) na komputerze. Microsoft Component Object Model (COM) to niezależny od platformy, rozproszony, zorientowany obiektowo system do tworzenia binarnych składników oprogramowania, które mogą wchodzić w interakcje. W przypadku korzystania z obiektów DCOM można dystrybuować aplikacje w różnych lokalizacjach, które mają najwięcej sensu dla Ciebie i aplikacji. Ta grupa jest wyświetlana jako identyfikator SID, dopóki kontroler domeny nie zostanie kontrolerem domeny podstawowej i będzie przechowywać rolę wzorca operacji, która jest również nazywana elastyczną rolą operacji głównych (FSMO). Nie można zmienić nazwy tej grupy, usunąć jej ani usunąć z niej.

DnsUpdateProxy

Członkowie grupy DnsUpdateProxy są klientami systemu nazw domen (DNS). Są one dozwolone do wykonywania aktualizacji dynamicznych w imieniu innych klientów, takich jak serwery DHCP. Serwer DNS może tworzyć przestarzałe rekordy zasobów, gdy serwer DHCP jest skonfigurowany do dynamicznego rejestrowania rekordów zasobów hosta (A) i wskaźnika (PTR) w imieniu klientów DHCP przy użyciu aktualizacji dynamicznej. Dodanie klientów do tej grupy zabezpieczeń łagodzi ten problem.

Aby chronić przed niezabezpieczonymi rekordami lub zezwolić członkom grupy DnsUpdateProxy na rejestrowanie rekordów w strefach, które zezwalają tylko na zabezpieczone aktualizacje dynamiczne, należy utworzyć dedykowane konto użytkownika. Należy również skonfigurować serwery DHCP do wykonywania aktualizacji dynamicznych DNS przy użyciu nazwy użytkownika, hasła i domeny tego konta. Wiele serwerów DHCP może używać poświadczeń jednego dedykowanego konta użytkownika. Ta grupa istnieje tylko wtedy, gdy rola serwera DNS jest lub była kiedyś zainstalowana na kontrolerze domeny w domenie.

Członkowie grupy mogą modyfikować lub usuwać rekordy DNS, powodując problem typu odmowy świadczenia usługi.

Aby uzyskać więcej informacji, zobacz Własność rekordu DNS i grupa DnsUpdateProxy.

DnsAdmins

Członkowie grupy DnsAdmins mają dostęp do informacji DNS o sieci. Domyślnie członkowie tej grupy mają przypisane następujące uprawnienia zezwalania: Odczyt, Zapis, Utwórz wszystkie obiekty podrzędne, Usuń obiekty podrzędne i Uprawnienia specjalne. Ta grupa istnieje tylko wtedy, gdy rola serwera DNS jest lub była kiedyś zainstalowana na kontrolerze domeny w domenie.

Aby uzyskać więcej informacji na temat zabezpieczeń i systemu DNS, zobacz DNSSEC w systemie Windows Server 2012.

Administratorzy domeny

Członkowie grupy zabezpieczeń Administratorzy domeny są upoważnieni do administrowania domeną. Domyślnie grupa Administratorzy domeny jest członkiem grupy Administratorzy na wszystkich komputerach przyłączających się do domeny, w tym na kontrolerach domeny. Grupa Administratorzy domeny jest domyślnym właścicielem dowolnego obiektu utworzonego w usłudze Active Directory dla domeny przez dowolnego członka grupy. Jeśli członkowie grupy tworzą inne obiekty, takie jak pliki, domyślnym właścicielem jest grupa Administratorzy.

Grupa Administratorzy domeny kontroluje dostęp do wszystkich kontrolerów domeny w domenie i może modyfikować członkostwo wszystkich kont administracyjnych w domenie. Członkowie grup administratorów usługi w jej domenie (Administratorzy i Administratorzy domeny) oraz członkowie grupy Administratorzy przedsiębiorstwa mogą modyfikować członkostwo w grupie Administratorzy domeny. Ta grupa jest uważana za konto administratora usługi, ponieważ jej członkowie mają pełny dostęp do kontrolerów domeny w domenie.

Komputery w domenie

Ta grupa może zawierać wszystkie komputery i serwery, które dołączają do domeny, z wyłączeniem kontrolerów domeny. Domyślnie każde utworzone konto komputera staje się automatycznie członkiem tej grupy.

Kontrolery domeny

Grupa „Kontrolery domeny” może zawierać wszystkie kontrolery domeny w domenie. Nowe kontrolery domeny są automatycznie dodawane do tej grupy.

Goście domeny

Grupa Gości domeny zawiera wbudowane konto Gościa tej domeny. Gdy członkowie tej grupy logują się jako goście lokalni na komputerze przyłączonym do domeny, na komputerze lokalnym tworzony jest profil domeny.

Użytkownicy domeny

Grupa Domain Users (Użytkownicy domeny) zawiera wszystkie konta użytkowników w domenie. Gdy utworzysz konto użytkownika w domenie, zostanie ono domyślnie dodane do tej grupy.

Za pomocą tej grupy możesz reprezentować wszystkich użytkowników w domenie. Jeśli na przykład chcesz, aby wszyscy użytkownicy domeny mieli dostęp do drukarki, możesz przypisać uprawnienia drukarki do tej grupy. Możesz też dodać grupę "Użytkownicy domeny" do lokalnej grupy na serwerze wydruku, która ma uprawnienia do obsługi drukarki.

Administratorzy przedsiębiorstwa

Grupa Enterprise Admins istnieje tylko w domenie głównej lasu domen usługi Active Directory. Grupa jest grupą uniwersalną, jeśli domena jest w trybie natywnym. Grupa jest grupą globalną, jeśli domena jest w trybie mieszanym. Członkowie tej grupy mają uprawnienia do wprowadzania zmian w całym lesie usługi Active Directory, takich jak dodawanie domen podrzędnych.

Domyślnie jedynym członkiem grupy jest konto administratora domeny głównej lasu. Ta grupa jest automatycznie dodawana do grupy Administratorzy w każdej domenie w lesie i zapewnia pełny dostęp do konfigurowania wszystkich kontrolerów domeny. Członkowie tej grupy mogą modyfikować członkostwo wszystkich grup administracyjnych. Członkowie domyślnych grup administratorów usług w domenie głównej mogą modyfikować członkostwo w grupie Enterprise Admins. Ta grupa jest uważana za konto administratora usługi.

Administratorzy kluczy przedsiębiorstwa

Członkowie tej grupy mogą wykonywać akcje administracyjne na kluczowych obiektach w lesie usługi katalogowej.

Kontrolery domeny tylko do odczytu w środowisku przedsiębiorstwa

Członkowie tej grupy są kontrolerami RODC w lesie. Z wyjątkiem haseł kont kontroler RODC przechowuje wszystkie obiekty i atrybuty usługi Active Directory przechowywane przez zapisywalny kontroler domeny. Nie można jednak wprowadzać zmian w bazie danych przechowywanej na kontrolerze RODC. Zmiany muszą zostać wprowadzone na zapisywalnym kontrolerze domeny, a następnie zreplikowane na kontroler RODC.

Kontrolery RODC rozwiązują niektóre problemy, które często występują w oddziałach firmy. Te lokalizacje mogą nie mieć kontrolera domeny lub mogą mieć zapisywalny kontroler domeny, ale nie mają zabezpieczeń fizycznych, przepustowości sieci ani lokalnej wiedzy specjalistycznej potrzebnej do jego obsługi.

Aby uzyskać więcej informacji, zobacz Co to jest RODC?.

Czytelnicy dziennika zdarzeń

Członkowie tej grupy mogą odczytywać dzienniki zdarzeń z komputerów lokalnych. Grupa jest tworzona, gdy serwer jest awansowany do roli kontrolera domeny. Nie można zmienić nazwy tej grupy, usunąć jej ani usunąć z niej.

Właściciele twórcy zasad grupowych

Ta grupa jest uprawniona do tworzenia, edytowania i usuwania obiektów zasad grupy w domenie. Domyślnie jedynym członkiem grupy jest Administrator.

Aby uzyskać informacje o innych funkcjach, których można używać z tą grupą zabezpieczeń, zobacz Omówienie zasad grupy Group Policy.

Guests

Członkowie grupy Goście i Użytkownicy mają domyślnie podobny dostęp. Różnica polega na tym, że konto gościa ma dalsze ograniczenia. Domyślnie jedynym członkiem grupy Goście jest konto gościa. Grupa Goście umożliwia sporadycznym lub jednorazowym użytkownikom logowanie się z ograniczonymi uprawnieniami do wbudowanego konta gościa komputera.

Gdy członek grupy Goście wyloguje się, cały profil zostanie usunięty. Usunięcie profilu obejmuje wszystkie elementy przechowywane w katalogu %userprofile%, w tym informacje o gałęzi rejestru użytkownika, niestandardowe ikony pulpitu i inne ustawienia specyficzne dla użytkownika. Fakt ten oznacza, że gość musi użyć profilu tymczasowego, aby zalogować się do systemu. Ta grupa zabezpieczeń wchodzi w interakcję z następującym ustawieniem zasad grupy: Nie loguj użytkowników przy użyciu profilów tymczasowych. Aby uzyskać dostęp do tego ustawienia, otwórz edytor zarządzania zasadami grupy, a następnie przejdź do pozycji Konfiguracja> komputeraSzablony> administracyjneProfile użytkowników systemu>.

Nie można zmienić nazwy tej grupy, usunąć jej ani odłączyć.

Administratorzy Hyper-V

Członkowie grupy Hyper-V Administrators mają pełny i nieograniczony dostęp do wszystkich funkcji Hyper-V. Dodanie członków do tej grupy pomaga zmniejszyć liczbę członków wymaganych w grupie Administratorzy i jeszcze bardziej rozdziela uprawnienia. Nie można zmienić nazwy tej grupy, usunąć jej ani przenieść.

IIS_IUSRS

IIS_IUSRS to wbudowana grupa używana przez Internet Information Services (IIS), od wersji IIS 7. System operacyjny zapewnia, że każde wbudowane konto i grupa mają unikatowy identyfikator SID. Usługi IIS 7 zastępują konto IUSR_MachineName i grupę IIS_WPG grupą IIS_IUSRS, aby zapewnić, że rzeczywiste nazwy używane przez nowe konto i grupę nigdy nie zostaną zlokalizowane. Na przykład niezależnie od języka instalowanego systemu operacyjnego Windows nazwa konta usług IIS to IUSR, a nazwa grupy to IIS_IUSRS.

Aby uzyskać więcej informacji, zobacz Omówienie wbudowanych kont użytkowników i grup w usługach IIS 7.

Incoming Forest Trust Builders

Członkowie grupy Przychodzące konstruktory zaufania lasu mogą tworzyć przychodzące relacje zaufania jednokierunkowe do lasu. Usługa Active Directory zapewnia zabezpieczenia w wielu domenach lub lasach za pośrednictwem relacji zaufania domenowych i leśnych. Przed przeprowadzeniem uwierzytelniania między relacjami zaufania system Windows musi określić, czy żądana domena jest przez użytkownika, komputer lub usługę, która ma relację zaufania z domeną logowania żądanego konta.

Aby dokonać tego ustalenia, system zabezpieczeń systemu Windows oblicza ścieżkę zaufania między kontrolerem domeny serwera, który odbiera żądanie, a kontrolerem domeny w domenie konta żądającego. Zabezpieczony kanał rozszerza się na inne domeny usługi Active Directory za pośrednictwem relacji zaufania międzydomenowych. Ten zabezpieczony kanał służy do uzyskiwania i weryfikowania informacji o zabezpieczeniach, w tym identyfikatorów SID dla użytkowników i grup.

Ta grupa jest wyświetlana jako identyfikator SID do momentu, gdy kontroler domeny stanie się podstawowym kontrolerem domeny i będzie pełnił rolę wzorca operacji (FSMO). Nie można zmienić nazwy tej grupy, usunąć jej ani usunąć z niej.

Aby uzyskać więcej informacji, zobacz Jak działają relacje zaufania domen i lasów.

Administratorzy kluczy

Członkowie tej grupy mogą wykonywać akcje administracyjne na kluczowych obiektach w domenie.

Operatorzy konfiguracji sieci

Członkowie grupy Operatorzy konfiguracji sieci mają następujące uprawnienia administracyjne do zarządzania konfiguracją funkcji sieciowych:

• Modyfikowanie właściwości protokołu TCP/IP (Transmission Control Protocol/Internet Protocol) dla połączenia sieci lokalnej (LAN), która obejmuje adres IP, maskę podsieci, bramę domyślną i serwery nazw
• Zmień nazwę połączeń SIECI LAN lub połączeń dostępu zdalnego, które są dostępne dla wszystkich użytkowników
• Włączanie lub wyłączanie połączenia sieci LAN
• Modyfikowanie właściwości wszystkich połączeń dostępu zdalnego użytkowników
• Usuń wszystkie połączenia dostępu zdalnego użytkowników
• Zmień nazwę wszystkich połączeń dostępu zdalnego użytkowników
• Wydaj ipconfig, ipconfig /release i ipconfig /renew polecenia
• Wprowadź klucz odblokowania numeru PIN (PUK) dla mobilnych urządzeń szerokopasmowych obsługujących kartę SIM

Członkowie grupy mogą zakłócać komunikację sieciową kontrolera domeny i dlatego nie powinni być delegowani.

Ta grupa jest wyświetlana jako identyfikator SID do momentu, gdy kontroler domeny stanie się podstawowym kontrolerem domeny i będzie pełnił rolę wzorca operacji (FSMO). Nie można zmienić nazwy tej grupy, usunąć jej ani usunąć z niej.

Użytkownicy dziennika wydajności

Członkowie grupy Użytkownicy dziennika wydajności mogą zarządzać licznikami, dziennikami i alertami wydajności lokalnie na serwerze i z klientów zdalnych, nie będąc członkami grupy Administratorzy. W szczególności członkowie tej grupy zabezpieczeń:

• Może korzystać ze wszystkich funkcji, które są dostępne dla grupy Użytkownicy monitora wydajności.
• Nie można użyć dostawcy zdarzeń śledzenia jądra systemu Windows w zestawach modułów zbierających dane.

Aby członkowie grupy Użytkownicy dziennika wydajności mogli inicjować rejestrowanie danych lub modyfikować Zestawy kolektorów danych, należy najpierw przypisać im prawo użytkownika Logowanie jako zadanie wsadowe. Aby przypisać to prawo użytkownika, należy użyć przystawki Zasady zabezpieczeń lokalnych w programie Microsoft Management Console (MMC).

Ta grupa jest wyświetlana jako identyfikator SID do momentu, gdy kontroler domeny stanie się podstawowym kontrolerem domeny i będzie pełnił rolę wzorca operacji (FSMO). Nie można zmienić nazwy tego konta, usunąć go ani przenieść.

Użytkownicy monitora wydajności

Członkowie tej grupy mogą monitorować liczniki wydajności na kontrolerach domeny w domenie, lokalnie i ze zdalnych komputerów klienckich, nie będąc członkami grup Administratorzy lub Użytkownicy dzienników wydajności. Monitor wydajności systemu Windows to przystawka programu MMC, która udostępnia narzędzia do analizowania wydajności systemu. Z poziomu jednej konsoli można monitorować wydajność aplikacji i sprzętu, określać, jakie dane mają być zbierane w dziennikach, definiować progi wyzwalające alerty i akcje automatyczne, generować raporty i wyświetlać dane dotyczące wydajności w przeszłości na różne sposoby.

W szczególności członkowie tej grupy zabezpieczeń:

• Można korzystać ze wszystkich funkcji dostępnych dla grupy Użytkownicy.
• Może wyświetlać dane dotyczące wydajności w czasie rzeczywistym w Monitorze wydajności.
• Można zmieniać właściwości wyświetlania Monitora wydajności podczas przeglądania danych.
• Nie można tworzyć ani modyfikować zestawów modułów zbierających dane wydajności.

Ta grupa jest wyświetlana jako identyfikator SID do momentu, gdy kontroler domeny stanie się podstawowym kontrolerem domeny i będzie pełnił rolę wzorca operacji (FSMO). Nie można zmienić nazwy tej grupy, usunąć jej ani usunąć jej z listy.

Dostęp zgodny z systemami sprzed Windows 2000

Członkowie grupy Zgodny dostęp sprzed systemu Windows 2000 mają uprawnienia do odczytu wszystkich użytkowników i grup w domenie. Ta grupa jest udostępniana w celu zapewnienia zgodności z poprzednimi wersjami dla komputerów z systemem Windows NT 4.0 lub starszym. Domyślnie specjalna grupa tożsamości Wszyscy jest członkiem tej grupy. Dodaj użytkowników do tej grupy tylko wtedy, gdy korzystają z systemu Windows NT 4.0 lub starszego.

Gdy w domenie nie znajduje się żaden system Windows NT 4.0 lub starszy, a wszystkie komponenty są aktualizowane, aby obsługiwały AD, grupa ta nie powinna mieć członków.

Nie można zmienić nazwy tej grupy, usunąć jej ani jej wykluczyć.

Operatorzy drukowania

Członkowie tej grupy mogą zarządzać, tworzyć, udostępniać i usuwać drukarki połączone z kontrolerami domeny w domenie. Mogą również zarządzać obiektami drukarki usługi Active Directory w domenie. Członkowie tej grupy mogą logować się lokalnie i wyłączać kontrolery domeny w domenie.

Ta grupa nie ma domyślnych członków. Ponieważ członkowie tej grupy mogą ładować i zwalniać sterowniki urządzeń na wszystkich kontrolerach domeny w domenie, należy zachować ostrożność przy dodawaniu użytkowników. Nie można zmienić nazwy tej grupy, usunąć jej ani odłączyć.

Aby uzyskać więcej informacji, zobacz Przypisywanie ustawień delegowanego administratora drukowania i uprawnień do drukarki w systemie Windows Server 2012.

Chronieni użytkownicy

Członkowie grupy Użytkownicy chronieni mają dodatkową ochronę przed przejęciem danych uwierzytelniających podczas procesów uwierzytelniania.

Ta grupa zabezpieczeń została zaprojektowana w ramach strategii skutecznej ochrony poświadczeń uwierzytelniających w przedsiębiorstwie i zarządzania nimi. Członkowie tej grupy mają automatycznie niekonfigurowalną ochronę zastosowaną do swoich kont. Członkostwo w grupie Użytkownicy chronieni ma być domyślnie restrykcyjne i proaktywnie bezpieczne. Jedynym sposobem zmodyfikowania ochrony konta jest usunięcie konta z grupy zabezpieczeń.

Ta grupa globalna związana z domeną wyzwala niekonfiguralną ochronę na urządzeniach i komputerach hostów, począwszy od systemów Windows Server 2012 R2 i Windows 8.1. Wyzwala również niekonfiguralną ochronę na kontrolerach domeny w domenach, które mają podstawowy kontroler domeny z systemem Windows Server 2012 R2 lub nowszym. Ta ochrona znacznie zmniejsza zużycie pamięci przez poświadczenia, gdy użytkownicy logują się do komputerów w sieci z niezagrożonego komputera.

W zależności od poziomu funkcjonalności domeny konta członkowie grupy Chronieni użytkownicy są dalej chronieni z powodu zmian zachowania w metodach uwierzytelniania obsługiwanych w systemie Windows:

• Członkowie grupy Chronieni Użytkownicy nie mogą uwierzytelniać się przy użyciu następujących dostawców obsługi zabezpieczeń (SSP): New Technology LAN Manager (NTLM), uwierzytelnianie z haszowaniem lub dostawca obsługi zabezpieczeń poświadczeń (CredSSP). Hasła nie są buforowane na urządzeniu z systemem Windows 10 lub Windows 8.1. Urządzenie nie może uwierzytelnić się w domenie, gdy konto jest członkiem grupy Chronieni użytkownicy.
• Protokół Kerberos nie używa słabszych typów szyfrowania danych Standard (DES) ani Rivest Cipher 4 (RC4) w procesie wstępnego uwierzytelniania. Domena musi być skonfigurowana tak, aby obsługiwała co najmniej pakiet szyfrowania Advanced Encryption Standard (AES).
• Nie można delegować konta użytkownika przy użyciu ograniczonego lub nieograniczonego delegowania protokołu Kerberos. Jeśli użytkownik jest członkiem grupy Użytkownicy chronieni, wcześniejsze połączenia z innymi systemami mogą zakończyć się niepowodzeniem.
• Można zmienić domyślne ustawienie okresu istnienia biletów przyznających bilety (TGT) protokołu Kerberos, wynoszące cztery godziny, za pomocą zasad uwierzytelniania i silosów w Centrum administracyjnym usługi Active Directory. W ustawieniu domyślnym użytkownik musi uwierzytelnić się po upływie czterech godzin.

Ta grupa została wprowadzona w systemie Windows Server 2012 R2. Aby uzyskać więcej informacji na temat działania tej grupy, zobacz Grupa zabezpieczeń Użytkownicy chronieni.

Serwery RAS i IAS

Komputery należące do grupy Serwery RAS i IAS, jeśli są prawidłowo skonfigurowane, mogą korzystać z usług dostępu zdalnego. Domyślnie ta grupa nie ma członków. Komputery, które uruchamiają usługę Routing i zdalny dostęp (RRAS) oraz usługi zdalnego dostępu, takie jak usługa uwierzytelniania internetowego (IAS) i serwery zasad sieciowych, są automatycznie dodawane do grupy. Członkowie tej grupy mają dostęp do niektórych właściwości obiektów użytkownika, takich jak odczyt ograniczeń konta, odczyt informacji logowania i odczyt informacji o dostępie zdalnym.

Serwery Endpoint RDS

Serwery będące członkami grupy Serwery punktów końcowych usług pulpitu zdalnego mogą uruchamiać maszyny wirtualne i hostować sesje, na których działają programy użytkowników funkcji RemoteApp oraz osobiste pulpity wirtualne. Należy umieścić tę grupę na serwerach z uruchomionym Brokerem Połączeń Usług Pulpitu Zdalnego (RD Connection Broker). Serwery hosta sesji i serwery hosta wirtualizacji pulpitu zdalnego używane we wdrożeniu muszą należeć do tej grupy. Nie można zmienić nazwy tej grupy, usunąć jej ani jej wykluczyć.

Aby uzyskać informacje na temat usług pulpitu zdalnego (RDS), zobacz Omówienie usług pulpitu zdalnego w systemie Windows Server.

Serwery zarządzania RDS

Można użyć serwerów, które są członkami grupy zarządzającej usługami Pulpitów Zdalnych, aby wykonywać rutynowe działania administracyjne na serwerach działających w systemie usług Pulpitów Zdalnych. Należy dodać członków do tej grupy na wszystkich serwerach we wdrożeniu usług pulpitu zdalnego. Serwery, na których jest uruchomiona usługa zarządzania centralnego RDS, muszą być uwzględnione w tej grupie. Nie można zmienić nazwy tej grupy, usunąć jej ani usunąć z niej.

Serwery dostępu zdalnego RDS

Serwery w grupie RDS Remote Access Servers umożliwiają użytkownikom dostęp do programów funkcji RemoteApp oraz osobistych pulpitów wirtualnych. W przypadku wdrożeń dostępnych z Internetu te serwery są zwykle wdrażane w sieci brzegowej. Należy wypełnić tę grupę na serwerach z uruchomionym brokerem połączeń zdalnego pulpitu. Serwery bramy RD i serwery dostępu do sieci Web RD, używane we wdrożeniu, muszą być w tej grupie. Nie można zmienić nazwy tej grupy, usunąć jej ani jej usunąć.

Aby uzyskać więcej informacji, zobacz Omówienie usług pulpitu zdalnego w systemie Windows Server.

Kontrolery domeny tylko do odczytu

Ta grupa składa się z kontrolerów RODC znajdujących się w domenie. Kontroler domeny tylko do odczytu (RODC) umożliwia organizacjom łatwe wdrażanie kontrolera domeny w scenariuszach, w których nie można zagwarantować zabezpieczeń fizycznych. Przykładowy scenariusz to lokalizacja biura oddziału lub lokalny magazyn wszystkich haseł domeny, które są uważane za główne zagrożenie, jak w przypadku roli związanej z ekstranetem lub aplikacjami.

Ponieważ można delegować administrowanie kontrolerem RODC do użytkownika domeny lub grupy zabezpieczeń, kontroler RODC jest dobrze odpowiedni dla witryny, która nie powinna mieć użytkownika, który jest członkiem grupy Administratorzy domeny. RODC ma następujące funkcje:

• Baza danych AD DS w trybie tylko do odczytu
• Replikacja jednokierunkowa
• Buforowanie poświadczeń
• Rozdzielenie ról administratora
• DNS tylko do odczytu

Aby uzyskać więcej informacji, zobacz Opis planowania i wdrażania kontrolerów domeny tylko do odczytu.

Użytkownicy pulpitu zdalnego

Możesz użyć grupy 'Użytkownicy Pulpitu Zdalnego' na serwerze Host Sesji Usług Pulpitu Zdalnego, aby przyznać uprawnienia użytkownikom i grupom do zdalnego łączenia się z serwerem Host Sesji Usług Pulpitu Zdalnego. Nie można zmienić nazwy tej grupy, usunąć jej ani wykluczyć. Grupa jest wyświetlana jako identyfikator SID do momentu, gdy kontroler domeny stanie się podstawowym kontrolerem domeny i będzie pełnił rolę wzorca operacji (FSMO).

Tylko administratorzy powinni korzystać z sesji RDS na kontrolerze domeny i to tylko w sytuacjach awaryjnych. Trzymaj tę grupę pustą.

Użytkownicy zarządzania zdalnego

Członkowie grupy Użytkownicy Zdalnego Zarządzania mogą uzyskiwać dostęp do zasobów Instrumentacji Zarządzania Windows (WMI) za pośrednictwem protokołów zarządzania, takich jak Web Services for Management (WS-Management), za pomocą usługi Windows Remote Management. Dostęp do zasobów usługi WMI ma zastosowanie tylko do przestrzeni nazw WMI, do których użytkownik ma dostęp.

Użyj grupy Remote Management Users, aby zezwolić użytkownikom na zarządzanie serwerami za pomocą konsoli Menedżera serwera. Użyj grupy WinRMRemoteWMIUsers__ , aby umożliwić użytkownikom zdalne uruchamianie poleceń programu Windows PowerShell.

Nie można zmienić nazwy tej grupy, usunąć jej ani przenieść.

Aby uzyskać więcej informacji, zobacz About WMI and What's new in MI? (Informacje o usłudze WMI i Co nowego w programie MI?).

Replicator

Komputery należące do grupy Replicator obsługują replikację plików w domenie. System Windows Server używa usługi replikacji plików (FRS) do replikowania zasad systemowych i skryptów logowania przechowywanych w folderze Wolumin systemowy (folder sysvol). Każdy kontroler domeny przechowuje kopię folderu sysvol, do którego klienci sieciowi mają dostęp. Usługa FRS może również replikować dane dla rozproszonego systemu plików (DFS) i synchronizować zawartość każdego elementu członkowskiego w zestawie replik zgodnie z definicją systemu plików DFS. Usługa FRS może kopiować i utrzymywać udostępnione pliki i foldery na wielu serwerach jednocześnie. Gdy wystąpią zmiany, zawartość jest natychmiast synchronizowana w witrynach i zgodnie z harmonogramem między witrynami.

Aby uzyskać więcej informacji, zobacz następujące zasoby:

• Usługa replikacji plików (FRS) jest przestarzała w systemie Windows Server 2008 R2 (Windows)
• Omówienie przestrzeni nazw DFS i Replikacji DFS

Nie można zmienić nazwy tej grupy, usunąć jej ani wykluczyć.

Administratorzy schematu

Członkowie grupy Administratorzy schematu mogą modyfikować schemat usługi Active Directory. Ta grupa istnieje tylko w domenie głównej lasu domen usługi Active Directory. Ta grupa jest grupą uniwersalną, jeśli domena jest w trybie natywnym. Ta grupa jest grupą globalną, jeśli domena jest w trybie mieszanym.

Domyślnie jedynym członkiem grupy jest konto administratora domeny głównej lasu. Ta grupa ma pełny dostęp administracyjny do schematu.

Każda z grup administratorów usługi w domenie głównej może modyfikować skład tej grupy. Ta grupa jest uważana za konto administratora usługi, ponieważ jego członkowie mogą modyfikować schemat, który zarządza strukturą i zawartością całego katalogu.

Aby uzyskać więcej informacji, zobacz Co to jest schemat usługi Active Directory?

Operatory serwera

Członkowie grupy Operatorzy serwerów mogą administrować kontrolerami domeny. Ta grupa istnieje tylko na kontrolerach domeny. Domyślnie ta grupa nie ma członków i nie można jej zmienić nazwy, usunąć ani wyłączyć. Członkowie grupy Operatorzy serwerów mogą wykonywać następujące działania:

• Zaloguj się interaktywnie do serwera
• Tworzenie i usuwanie udostępnionych zasobów sieciowych
• Zatrzymaj i uruchom usługi
• Tworzenie kopii zapasowych i przywracanie plików
• Sformatuj dysk twardy urządzenia
• Wyłącz urządzenie

Domyślnie ta wbudowana grupa nie ma żadnych członków. Ta grupa ma dostęp do opcji konfiguracji serwera na kontrolerach domeny. Jego członkostwo jest kontrolowane przez grupy administratorów Administrators i Domain Admins w domenie oraz przez grupę Enterprise Admins w domenie głównej lasu. Członkowie tej grupy nie mogą zmieniać żadnych członkostw w grupach administracyjnych. Ta grupa jest uważana za konto administratora usługi, ponieważ jej członkowie mają fizyczny dostęp do kontrolerów domeny. Członkowie tej grupy mogą wykonywać zadania konserwacyjne, takie jak tworzenie kopii zapasowych i przywracanie, a także zmieniać pliki binarne zainstalowane na kontrolerach domeny. Aby uzyskać domyślne prawa użytkownika grupy, zobacz poniższą tabelę.

Administratorzy funkcji Storage Replica

Członkowie grupy Administratorzy Repliki Magazynu mają pełny i nieograniczony dostęp do wszystkich funkcji narzędzia Repliki Magazynu.

Konta zarządzane przez system

Członkostwo w grupie Konta zarządzane przez system jest zarządzane przez system. Ta grupa obejmuje domyślne konto zarządzane przez system (DSMA), które ułatwia funkcje systemowe.

Serwery licencjonowania Terminal Server

Członkowie grupy Serwery licencji Terminal Server mogą aktualizować konta użytkowników w usłudze Active Directory z informacją o wydaniu licencji. Grupa jest używana do śledzenia i raportowania użycia licencji dostępu klienta na użytkownika (TS na użytkownika CAL). Licencja TS Per User CAL daje jednemu użytkownikowi prawo dostępu do instancji Serwera terminali z nieograniczonej liczby komputerów lub urządzeń klienckich. Ta grupa jest wyświetlana jako identyfikator SID do momentu, gdy kontroler domeny stanie się podstawowym kontrolerem domeny i będzie pełnił rolę wzorca operacji (FSMO). Nie można zmienić nazwy tej grupy, usunąć jej ani odłączyć.

Aby uzyskać więcej informacji o tej grupie zabezpieczeń, zobacz Konfiguracja grupy zabezpieczeń Serwer licencji usług terminalowych.

Użytkownicy

Członkowie grupy Użytkownicy nie mogą dokonywać przypadkowych lub celowych zmian w całym systemie. Członkowie tej grupy mogą uruchamiać większość aplikacji. Po początkowej instalacji systemu operacyjnego jedynym elementem grupy są Użytkownicy uwierzytelnieni. Gdy komputer dołącza do domeny, grupa Użytkownicy domeny jest dodawana do grupy Użytkownicy na komputerze.

Użytkownicy mogą wykonywać zadania, takie jak uruchamianie aplikacji, korzystanie z drukarek lokalnych i sieciowych, wyłączanie komputera i blokowanie komputera. Użytkownicy mogą instalować aplikacje, z których mogą korzystać tylko oni, jeśli program instalacyjny aplikacji obsługuje instalację dla poszczególnych użytkowników. Nie można zmienić nazwy tej grupy, usunąć jej ani usunąć z niej.

Nie usuwaj członków z grupy z wyjątkiem konta Anonymous, ponieważ zdalnie połączeni użytkownicy i komputery korzystają z uprawnień, które grupa posiada, mając tylko uprawnienia „Authenticated Users”.

Dostęp autoryzacyjny systemu Windows

Członkowie tej grupy mają dostęp do atrybutu tokenGroupsGlobalAndUniversal w obiektach użytkownika. Ten dostęp jest przydatny, ponieważ niektóre funkcje aplikacji odczytują atrybut token-groups-global-and-universal (TGGAU) obiektów kont użytkowników lub obiektów kont komputerów w usługach AD DS. Niektóre funkcje Win32 ułatwiają odczytywanie atrybutu TGGAU . Jednak aplikacje, które odczytują ten atrybut lub wywołują interfejs API odczytujący ten atrybut, nie odniosą sukcesu, jeśli wywołujący kontekst zabezpieczeń nie ma dostępu do atrybutu. Ta grupa ułatwia udzielanie dostępu do odczytu atrybutowi.

Ta grupa jest wyświetlana jako identyfikator SID do momentu, gdy kontroler domeny stanie się podstawowym kontrolerem domeny i będzie pełnił rolę wzorca operacji (FSMO). Nie można zmienić nazwy tej grupy ani jej usunąć.

WinRMRemoteWMIUsers__

Począwszy od systemów Windows Server 2012 i Windows 8, interfejs użytkownika Ustawienia zabezpieczeń zaawansowanych zawiera kartę Udostępnianie. Ta karta wyświetla właściwości zabezpieczeń zdalnego zasobu plików. Aby wyświetlić te informacje, musisz mieć następujące uprawnienia i członkostwa:

• Musisz być członkiem grupy WinRMRemoteWMIUsers__ lub grupy BUILTIN\Administrators.
• Musisz mieć uprawnienia Odczyt do udziału plików.

W systemie Windows Server 2012 funkcja Pomoc w odmowie dostępu dodaje grupę Uwierzytelnieni użytkownicy do lokalnej grupy WinRMRemoteWMIUsers__. Gdy jest włączona funkcja pomocy przy odmowie dostępu, wszyscy uwierzytelnieni użytkownicy, którzy mają uprawnienia Odczyt do udziału plików, mogą wyświetlać uprawnienia udziału plików.

Treści powiązane

• podmioty bezpieczeństwa
• Specjalne grupy tożsamościowe
• Omówienie kontroli dostępu