[решено] Структура OU в Active Directory

[Tonny_Bennet]

Здравствуйте.

Есть холдинг из четырёх компаний. Географически компании расположены в разных городах (Ростов, Краснодар, Ставрополь, Волгоград). Структура отделов во всех компаниях примерно одинаковая: руководство, бухгалтерия, отдел продаж и т.д. Решили развернуть контроллер домена в Ростове, один на всех. В филиалах развернуть RODC. Встал вопрос о организации структуры OU для пользователей и компьютеров.

Вариант 1. Разделить сначала по географии, а потом уже внутри бить по отделам, внутрь класть юзеров.

Rostov
Departmets
Directors
a.ataresov
s.gulia
Managers
v.konov
o.yudin
Sales
p.levada

Krasnodar
Departmets
Directors
b.bobikov
Managers
i.ivanov
p.petrov
Sales
s.sidorov

В таком варианте можно сделать политику для региона и отдельно разрабатывать политики для отделов.


Вариант 2.Разделить сначала по отделам, а потом уже внутри отдела бить по географии, внутрь класть юзеров.


Departmets
Directors
Rostov
a.ataresov
s.gulia
Krasnodar
b.bobikov
Managers
Rostov
v.konov
o.yudin
Krasnodar
i.ivanov
p.petrov
Sales
Rostov
p.levada
Krasnodar
s.sidorov

В таком варианте удобно сделать политики для отделов и накатить их на OU каждого отдела. При необходимости поправить политики для каждого региона.

Как лучше и логичнее по вашему мнению? Может существует какой-нибудь третий, и четвёртый вариант? В целом этот вопрос встал когда мы начали думать о подключении сетевых дисков для пользователей. В каждом регионе есть своё файловое хранилище и основной обмен информацией через файловое хранилище идёт в пределах одного региона. Каждому пользователю нужно подключить несколько сетевых дисков со своего файлового хранилища. Это удобно сделать в первом варианте, накатили политику на регион - у всех сотрудников региона появился сетевой диск. Но в этом случае придётся делать политики для каждого из отделов, которые практически неизменны и не зависят от региона. Если отталкиватся о отделов, как во втором варианте, то можно сделать одну политику на отдел, но в каждом отделе нужно для своего региона прописывать свой сетевой диск.

Может есть литература/видео по логике организации структуры в AD?

[cameron]

Если отталкиватся о отделов, как во втором варианте, то можно сделать одну политику на отдел, но в каждом отделе нужно для своего региона прописывать свой сетевой диск. »
а можно использовать OU ближе к корню, вида Common Groups, в группы доступна к ресурсам, аля Stavropol_share_users, и далее через нацеливание GPP изголяться как вам удобно.
Но если вы tru$ oLdsch00l и гонятете папки через скрипты, то конечно вам потребуется перк "олд_скул_цмд_гуру +100 к написанию скриптов" ;)

[Michael]

Stavropol_share_users » как вариант - попробовать замутить однородную схему именования папок вида %gorod%_share_users, а потом рулить скриптами через фильтры wmi или безопасности.
В таком варианте удобно сделать политики для отделов и накатить их на OU каждого отдела »
а что вам мешает разные OU связать с одним существующим объектом групповой политики?
P.S. Я бы использовал схему территориального деления

[Tonny_Bennet]

а что вам мешает разные OU связать с одним существующим объектом групповой политики? »
Мешало недопонимание вопроса. Решили сделать так. Спасибо.