Дизайн OU Active Directory для <500 пользователей, 4 местоположения

Я всегда разделял пользователей, компьютеры и группы на отдельные подразделения по той простой причине, что им легче управлять.

Если у вас нет веских причин для конкретной структуры AD, разработайте свою AD с административной точки зрения. Подумайте, где вы собираетесь применять политику.

Если вы применяете большинство своих политик на уровне отдела, используйте Department\Location\Object

Если вы применяете большинство своих политик на уровне местоположения, используйте Местоположение \ Отдел \ Объект

Если вы сделали это по-другому, это означало бы, что вам придется связывать свои политики в нескольких подразделениях, что требует ненужной работы.

Вложение групп в порядке, и опять же, сделать управление AD намного проще.

Я склонен проектировать структуры AD с учетом "упрощения управления", а не отражать физическую структуру компании, однако обе они часто одинаковы.

Я думаю, что если бы мне пришлось изменить дизайн моей AD снова, есть несколько вещей, которые я бы сделал по-другому, но я обнаружил, что:

Пользователи - Разделите тезисы на отделы, но также с областью / секциями для временного персонала или персонала агентства. Место для них не будет таким важным, как люди, несомненно, будут передвигаться.

Компьютеры - Разделите их на локации и суб-локации. Т.е. OfficeComputers/LondonOffice/Room103 (Финансы). Это означает, что вы можете применить настройки к одному местоположению или офису - например, к другому прокси-серверу или другим настройкам антивируса (конечно, только если программа управления AV использует AD)- без реорганизации, и, надеюсь, вам не придется открывать может червей, который является петлевой обработкой.

Я также счел полезным не использовать встроенные группы пользователей или компьютеров, не какие-либо технические проблемы, а просто, чтобы вы могли легко видеть, где что-то не должно быть.

Наконец, разделите ваши серверы, я выбрал место / роль, которая, кажется, работала довольно хорошо.

Как он уже ответил, вот мой небольшой пример. Имейте в виду, что нет правильного или неправильного, все зависит от потребностей - то есть, сначала от организации или места? Я предпочитаю организационную роль в первую очередь даже для компьютеров / серверных ролей. Мне также нравится возможность указывать единое подразделение, чтобы получить всех сотрудников, и не собирать мусор для заполнения списков сотрудников в интрасети. Не стесняйтесь редактировать!

• Люди (пользователи / тип = человек)
  • внутренний
    • Отдел А
      • Расположение X
      • Расположение Y
    • Отдел Б
    • Отдел С
  • внешний
    • Компания 1
    • Компания 2
• Машина (пользователи / тип = любые, включая компьютеры)
  • клиент
    • Ноутбуки
    • Настольные компьютеры
  • сервер
    • заявка
      • Расположение T
      • Расположение V
    • инфраструктура
    • База данных
  • обслуживание
  • Административные учетные записи (если используются)
• Списки (группы и контакты)
  • контакт
  • распределение
  • Безопасность

Я использую следующие рекомендации: пользователи; организовать в соответствии с HR-графиком групп; организовать в соответствии с рабочим процессом компьютеров; организовать в соответствии с географическим положением

Другие ответы в этой теме тоже очень хороши.

Я бы просто разделил их по местоположению в этом случае. Результирующая структура OU будет выглядеть примерно так:

Location1
-Computers
-Groups
-Users

Location2
-Computers
-Groups
-Users

и т.п.

На самом деле я не вижу необходимости в дальнейших делениях, например, по департаментам, так как это приведет к дополнительным административным накладным расходам без особой отдачи. Однако разделение по местоположению позволит вам осуществлять делегирование на каждом сайте.