由多个用户管理的 AD 组

使用 Active Directory (AD) 安全组是向用户分配权限的最佳实践 - 组的每个成员都获得授予该组的所有权限，从而消除了直接向每个用户单独分配权限的耗时且容易出错的方法。

负责创建和管理安全组的 IT 管理员可以指定所有者来管理它们。群组的所有者不必是该群组的成员。群组所有者负责管理和更新群组；监控其成员资格、属性和权限的变化；并确保不再需要时将其删除。

为了确保这些任务可靠地执行，每个 AD 安全组拥有多个所有者非常有用。但是，Active Directory 不支持具有多个所有者的安全组。本文准确解释了为什么此功能如此重要，并提供了提供此功能的解决方案。

将多个所有者分配给 AD 安全组的原因

对于 Active Directory 组，多个所有者可以带来宝贵的好处。以下是一些最重要的用例。

确保企业生产力

AD 组在企业生产力中发挥着至关重要的作用，因为它们是用户获取完成工作所需的 IT 资源的访问权限的主要方式。例如，如果销售团队采用了新工具，则需要立即授予销售安全组使用该工具的权限。如果雇用了新的帮助台技术人员，则需要将该用户添加到帮助台安全组，以便他们可以开始执行分配的任务。

但是，没有人可以始终处于可用状态，因此拥有多个可以修改安全组的人员非常重要。例如，如果该群组的主要所有者正在度假，其他所有者之一可以介入并进行必要的更改，以保持您的业务向前发展。

避免孤儿群体的风险

孤立组是没有所有者的任何组。这些组存在明显的安全风险，因为没有人负责确保其权限和成员资格保持准确。例如，攻击者可以修改某个组的权限，以增加他们已泄露的帐户的访问权限，或者将他们控制的用户帐户添加到某个组中以在不发出警报的情况下采取非法行动。

群组成为孤儿的常见方式是群组所有者离开公司。人员短缺的 IT 团队甚至可能没有意识到该团队已成为孤儿，因此可能会长期处于无人管理状态。将多个所有者分配给安全组可以大大降低组被孤立的风险。

避免可能被滥用的陈旧组，包括空组

群组所有者的主要职责之一是在不再需要群组时将其删除。虽然许多安全组（例如与财务或销售等部门相关的安全组）是长期存在的，但许多安全组是为特定项目或团队创建的。任何存在时间超过所需时间的组都会带来安全风险，因为作为该组成员的用户仍然可以利用分配给该组的权限 - 任何危害其帐户的对手也可以。这可能包括访问机密信息或敏感系统。

即使一个组是空的，它仍然会带来安全风险。事实上，攻击者经常寻找空的安全组，因为这表明它们不受管理。因此，攻击者可以将他们控制的帐户添加到安全组，并获得分配给该组的所有访问权限，同时可能避免检测，因为没有人关注该组。

更广泛地说，如果 Active Directory 中充斥着数十或数百个不需要的组，则更难以有效管理。如果没有人知道某个组的用途或是否仍然需要它，IT 团队可能不愿意删除该组。分配多个所有者有助于确保组在其使用寿命结束时被删除，并且 IT 团队有一个负责方来检查是否发现组没有成员或似乎不再有用。

选择其他群组所有者的提示

主要群组所有者应该是清楚了解群组目的的用户，这样他们就可以确保群组拥有适当的权限和正确的成员资格。示例可以包括部门经理或团队领导。

应同样谨慎地选择其他群组所有者。如果一个团队有多个领导者，一个明显的选择是让所有领导者成为相关组的所有者。另一种常见的次要所有者是由主要组所有者管理的人员。例如，副总裁可能是某个组的主要所有者，而工程总监可以充当该组的附加所有者。在某些情况下，帮助台团队可以充当辅助组所有者。

如何使用 Netwrix GroupID 释放多个组所有者的优势

正如我们所看到的，对于一个安全组来说，多个所有者是必不可少的。但 Microsoft Active Directory 不允许您分配多个所有者。

Netwrix GroupID 可以。事实上，这个强大的身份和访问管理 (IAM) 解决方案提供了以下所有功能：

• 轻松将一个主要所有者和多个附加所有者分配到一个组：

• 确保每个组至少有一个所有者：

• 临时添加其他所有者，并在指定时间自动删除：

• 根据“ManagedBy”组属性识别孤立组：

结论

管理 Active Directory 中的安全组是一项重要但具有挑战性的任务。为了避免用户访问权限过多和孤立组等风险，请考虑为每个安全组分配多个所有者。 Active Directory 不支持多个组所有者，但 Netwrix GroupID 支持。此外，它还提供了丰富的附加功能来实现有效的组和用户管理。

常问问题

AD 组可以有多个所有者吗？

通常，Active Directory 安全组只能有一个所有者。但是，您可以使用 Netwrix GroupID 等第三方工具将多个所有者分配给安全组。

如何在 Active Directory 中添加群组所有者？

在 Active Directory 中，您可以通过修改组的 ManagedBy 属性来添加组所有者。 Netwrix GroupID 等第三方工具可以轻松地将主要所有者和附加所有者分配给组。