18.6 Gruppentypen und Gruppenverschachtelung 

Gruppenverschachtelung bietet die Möglichkeit, die Aufbauorganisation des Unternehmens eins zu eins in der Struktur der Sicherheitsgruppen, der Struktur der Exchange-Verteilerlisten, des Ablagesystems auf den Dateiservern und der öffentlichen Ordner unter Exchange Server abzubilden. Bei der Einrichtung der Gruppen müssen Sie jedoch entscheiden, ob Sie domänenlokale, globale oder universale Gruppen oder eine Mischform dieser Gruppenbereiche einrichten, wie Sie diese Gruppen ineinander verschachteln und ob Sie sich für den Typ Sicherheitsgruppe oder Verteilergruppe entscheiden.

Das Thema »Gruppentypen und Gruppenbereiche« ist auf den ersten Blick schwer zu durchschauen. In Kapitel 20, Gruppen und Gruppenverschachtelung, finden Sie deshalb eine detaillierte Auseinandersetzung zur Problematik, welche Gruppentypen und Gruppenbereiche eingesetzt werden sollten. Viele Empfehlungen in der Literatur machen leider keinen Unterschied, ob alte NT-4.0-Domänen und Exchange-5.x-Organisationen migriert werden müssen oder ob sowohl das Active Directory als auch die Exchange Organisation sofort im einheitlichen 2003-Modus gefahren wird. Ist Letzteres nämlich möglich, so fallen viele der Beschränkungen, die es in einem Mischbetrieb aus Active Directory und Windows-NT-4.0-Domänen gibt, von Anfang an weg. Dies führt dann aber dazu, dass sich das Gruppenkonzept stark vereinfachen lässt.

Wenn Sie das Kapitel 20, Gruppen und Gruppenverschachtelung, und speziell den Abschnitt über die Altlasten von Windows-NT-4.0-Domänen aufmerksam gelesen haben, so verstehen Sie, warum es überhaupt die Unterscheidung in Sicherheitsgruppen und Verteilergruppen gibt, warum es die drei Gruppenbereiche lokal, global und universal gibt und was der Unterschied zwischen einer lokalen Gruppe unter Windows NT 4.0 und einer domänenlokalen Gruppe unter Active Directory ist. In einem Mischbetrieb aus Windows-NT-4.0-Domänen und Active Directory sowie Exchange-5.x-Organisationen und Exchange-2000/2003-Organisationen ist dieses komplexe Wissen erforderlich, um ein reibungsloses Zusammenspiel der beiden Welten zu ermöglichen. Doch auch dann, wenn Sie keine Altlasten in Ihrer Active-Directory-Designplanung berücksichtigen müssen, ist dieses Wissen sehr aufschlussreich, um die Empfehlungen der Fachliteratur zum Gruppendesign kritisch hinterfragen zu können.

Meine Schlussfolgerungen führen zu dem Ergebnis, auf die Verwendung lokaler und globaler Gruppenbereiche weitgehend zu verzichten, keine Gruppen vom Typ Verteiler zu erstellen, sondern ausschließlich universelle Sicherheitsgruppen zu verwenden, für diese Sicherheitsgruppen auf dem Exchange Server eine Mailadresse einzurichten und sie sinnvoll ineinander zu verschachteln. Dieses leicht zu durchschauende Gruppendesign ist jedoch nur möglich, wenn es keine Windows-NT-4.0-Domänen und Exchange-5.x-Organisationen gibt, die migriert werden müssen. Denn dann kann sowohl das Active Directory als auch die Exchange-Organisation sofort in den einheitlichen 2003-Modus umgeschaltet werden. Nur im einheitlichen 2003-Modus können die flexiblen universellen Sicherheitsgruppen verwendet und Gruppen beliebig ineinander verschachtelt werden.