[monkkey]

http://forum.ru-board.com/topic.cgi?forum=8&topic=8921
GPO (Group Policy Object) - это, в Вашем случае, OU. Изучение домена надо начинать с книг и статей, коих в Интернете предостаточно. Или Вы по любому вопросу, даже не умея его сформулировать (User Authentication - из этой серии), будете в форуме искать ответы?

[exo]

Если в правах доступа этой GPO я уберу User Authentication и поставлю группы безопасности, то GPO применится только к тем пользователям которые входят в эти группы, при условии что сами группы включены в OU (all_user)? »

совершенно верно.

И ещё - что определяют права доступа на саму OU ? »

что вы имеете ввиду под правами доступа на OU ?

[Ivan Bardeen]

Помогите разобраться с пониманием прав доступа. Есть DC под 2003. В AD создал OU (all_user) в которую поместил несколько групп пользователей. На эту OU создана GPO. Если в правах доступа этой GPO я уберу User Authentication и поставлю группы безопасности, то GPO применится только к тем пользователям которые входят в эти группы, при условии что сами группы включены в OU (all_user)? »

Нет, в эту OU нужно поместить самих пользователей - так как ГП не действует на группы, с помощью групп можно только фильтровать применение ГП, что вы и пытаетесь сделать.

[exo]

ГП не действует на группы, с помощью групп можно только фильтровать применение ГП, что вы и пытаетесь сделать. »

и попытка эта будет успешна.
ГП действует на OU, но применяется только к этим группам и их членам, что собственно и требуется.
На группы в этой OU, не указанных в фильтре, ГП - не применится.

[Ivan Bardeen]

но применяется только к этим группам »

Еще раз повторюсь политика не применяется к группам - OU должна содержать в себе пользователей, если пользователей в OU не будет - то попытка будет безуспешной. Группы могут быть где угодно, с помощью них примение политики фильтруется.

[exo]

если пользователей в OU не будет - то попытка будет безуспешной »

тогда уточнение: пользователи могут быть во вложенных OU.

[Ivan Bardeen]

пользователи могут быть во вложенных OU. »

Где угодно внутри иерархии объекта, к которому применяется политика. Только главное чтобы на ниже лежащих OU не была применена "блокировка наследования" http://technet.microsoft.com/ru-ru/l...50(WS.10).aspx

[minusodin]

Во первых всем спасибо. Я что-то может и неправильно сформулировал (типа Authenticated users) но ответы по правам доступа на GP помогли.

Во вторых

что вы имеете ввиду под правами доступа на OU ? »

Имею ввиду - OU [например мой all_users] => all_users properties => Security С точки зрения распространения (применения) политики права доступа непосредственно на OU имеют значение?

[exo]

Security »

а вы Advanсed нажмите. посмотрите какие там права можно раздать.