Ein potenzielles Leistungsszenario war vor langer Zeit, dass die Replikation der Gruppenmitgliedschaft vor Windows Server 2003 viel schlechter war und bei alten Gruppen mit älteren Mitgliedern, die vor Windows Server 2003 erstellt wurden, immer noch eine schlechte Leistung erbringen kann.
Vor Windows Server 2003 wurde jedes Mal, wenn eine globale / universelle Gruppenmitgliedschaft geändert wurde, das gesamte Gruppenmitgliedsattribut repliziert. Dies hatte schwerwiegende Auswirkungen auf die Replikationsleistung in großen, verteilten Verzeichnissen, insbesondere bei Universal-Gruppen mit vielen Mitgliedern. Daher war es in großen Verzeichnissen mit mehreren Domänen üblich, globale Sicherheitsgruppen in jeder Domäne zu einer universellen Gruppe hinzuzufügen. Dies hatte zur Folge, dass die Mitgliedschaftsreplikation innerhalb der Domäne selbst partitioniert wurde.
Windows Server 2003 führte die Linked Value Replication (LVR) ein. Dadurch wurden viele dieser Probleme für neu erstellte Gruppen und Gruppen behoben, deren Legacy-Mitglieder konvertiert wurden, da nur die einzelnen "verknüpften Werte" (Mitglieder) repliziert werden, wenn eine Änderung (Hinzufügen / Entfernen von Mitgliedern) erfolgt.
Ein weiteres potenzielles Problem war die Gesamtzahl der Mitglieder. Wenn Sie mehr Benutzer haben, z. B. 50.000, und 40.000 müssen in einer Sicherheitsgruppe sein, war es üblich, die Anzahl der Mitglieder pro Gruppe auf weniger als 5.000 zu beschränken, da dies die maximale Anzahl von Elementen ist, die möglich sind sicher in einer einzelnen atomaren Active Directory-Transaktion festgeschrieben werden. Bei einer LVR-Gruppe müssen für Aktualisierungen einer Gruppe mit großen Mitgliedschaften nicht mehr die gesamte Mitgliedschaft gesendet werden, sodass dies normalerweise kein Problem mehr darstellt, solange Sie nicht selbst so viele Aktualisierungen (Hinzufügen / Entfernen) in a durchführen einzelne Transaktion.
Trotzdem ist es für große Gruppen in Gesamtstrukturen mit mehreren Domänen immer noch eine gute Praxis, domänenspezifische Sicherheitsgruppen zu haben, die als Mitglieder zu einer einzelnen universellen Sicherheitsgruppe hinzugefügt werden, die sich normalerweise in einer Ressourcendomäne befindet. Es liegt an Ihnen, ob Sie diese universelle Gruppe zum ACL einer Ressource verwenden oder die universelle Gruppe zu einer lokalen Domänengruppe hinzufügen. In der Praxis habe ich nicht so viele Probleme bei der Verwendung von Universal Groups, der Leistung oder auf andere Weise gesehen. Beachten Sie, dass der Zugriff auf einen globalen Katalog selten ein Problem sein sollte, da Microsoft seit langem empfohlen hat, dass alle Domänencontroller globale Kataloge sind. Es ist nicht ungewöhnlich, große Verzeichnisse zu finden, die erstellt wurden, bevor es lokale Domänengruppen gab, die keine ihrer Gruppen oder ihre Strategie zur Verwendung lokaler Domänengruppen konvertiert haben.
Einige Gründe, warum lokale Domänengruppen von Microsoft empfohlen werden, da sie die größte Flexibilität bei den Mitgliedertypen bieten, die der Gruppe hinzugefügt werden können, und die diskretionäre Kontrolle für die Domänenadministratoren. Es bietet auch eine Möglichkeit, die Replikation der Gruppenmitgliedschaft zu minimieren:
Globale Katalogreplikation
http://technet.microsoft.com/en-us/library/cc759007%28v=ws.10%29.aspx
"Gruppen mit universellem Gültigkeitsbereich und ihre Mitglieder werden ausschließlich im globalen Katalog aufgeführt. Gruppen mit globalem oder domänenlokalem Gültigkeitsbereich werden ebenfalls im globalen Katalog aufgeführt, ihre Mitglieder jedoch nicht . Dies verringert die Größe des globalen Katalogs und der Replikation Datenverkehr im Zusammenhang mit der Aktualisierung des globalen Katalogs. Sie können die Netzwerkleistung verbessern, indem Sie Gruppen mit globalem oder domänenlokalem Bereich für Verzeichnisobjekte verwenden, die sich häufig ändern. "
Sie sollten auch niemals lokale Domänengruppen für ACL-Objekte in Active Directory verwenden:
"Wenn ein Benutzer eine Verbindung zu einem globalen Katalog herstellt und versucht, auf ein Objekt zuzugreifen, wird eine Zugriffsprüfung basierend auf dem Token des Benutzers und der DACL des Objekts durchgeführt. Alle in der DACL des Objekts angegebenen Berechtigungen für lokale Domänengruppen, die nicht aus der Domäne stammen Der Domänencontroller, auf dem sich der globale Katalog befindet (zu dem der Benutzer eine Verbindung hergestellt hat), ist unwirksam, da nur lokale Domänengruppen aus der Domäne des globalen Katalogs, zu der der Benutzer gehört, im Zugriffstoken des Benutzers dargestellt werden Dem Benutzer kann der Zugriff verweigert werden, wenn der Zugriff gewährt werden sollte, oder der Zugriff kann verweigert werden, wenn der Zugriff verweigert werden sollte.
"Als bewährte Methode sollten Sie die Verwendung lokaler Domänengruppen vermeiden, wenn Sie Berechtigungen für Active Directory-Objekte zuweisen, oder sich der Auswirkungen bewusst sein, wenn Sie diese verwenden."