转自： http://bbs.winos.cn/thread-53792-1-1.html  ，作者zh_cxl，转载和分享请注明出处。
 
本系列文章单独发于bbs.winos.cn，供论坛朋友交流分享，希望能有更多的交流和分享，大家一起学习和提高，因近期有文章被作少许改动后在大型网站转载，并未注明原文作者以及来源为bbs.winos.cn，为支持和保护论坛原创，如需转载或对原文进行修改、裁剪编辑等后再转载，请事先与我取得联系，故作声明，谢谢合作





 接上篇： 中型企业Active Directory 设计部署系列三 AD架构的设计（上）

解答上篇的问题：假如我是南昌的IT管理员可以在一级OU上创建AD对象吗？可以对重庆的ＯＵ进行管理吗？

答：1、不能在一级OU上创建AD对象，因为没有被授权；
     2、不能对重庆OU进行管理，因为没有被授权；

前面我们根据地点和公司划分了二级OU，下面我们再针对每个公司继续划分OU。
每个公司的OU架构共设计了两个方案，下面我们先看看二个方案的架构图。

方案一：




方案二：

公司OU划分没有一定结构，原则是根据公司的实际情况来划分，怎么样管理方便就怎么样划分。

第一个方案简单明了，把相应的对象放入相应的OU再进行策略管理；
第二个方案也不错，在管理上划分得很细，但相应的也增加了管理的复杂度；

根据公司的实际情况，为了简化管理决定采用第一个方案，强化总公司的IT管理，减少AD的维护量，保障公司OU架构的统一性和可靠性所有公司都统一采用这一架构，并为公司里的每一个OU委派权限给分公司的IT管理员。具体的OU委派权限如下：

IT:
作用：此OU委派给总公司IT管理员创建和存放分公司的IT用户和组
委派权限：
1、创建、删除以及管理用户帐户
2、重设用户密码并强制在下次登录时更改密码
3、读取所有用户信息
4、创建、删除和管理组
5、修改组成员身份
6、生成策略的结果集(计划)
7、生成策略的结果集(记录)

Groups:
作用：委派给分公司IT管理员创建和存放本地分公司的用户组
委派权限：
1、创建、删除和管理组
2、修改组成员身份

Users:
作用：委派给分公司IT管理员创建和存放本地用户帐号
委派权限：
1、创建、删除和管理组
2、重设用户密码并强制在下次登录时更改密码
3、读取所有用户信息
4、修改组成员身份
5、生成策略的结果集(计划)
6、生成策略的结果集(记录)


Servers:
作用：委派给分公司IT管理员创建和存放本地服务器计算机帐号；
委派权限：
1、创建、删除以及管理计算机帐户
2、生成策略的结果集(计划)
3、生成策略的结果集(记录)


Mobiles:
作用：委派给分公司IT管理员创建和存放本地笔记本计算机帐号；
委派权限：
1、创建、删除以及管理计算机帐户
2、生成策略的结果集(计划)
3、生成策略的结果集(记录)
Workstations:
作用：委派给分公司IT管理员创建和存放本地普通计算机帐号；
委派权限：
1、创建、删除以及管理计算机帐户
2、生成策略的结果集(计划)
3、生成策略的结果集(记录)




下一篇：中型企业Active Directory 设计部署系列四 组策略的设计




本系列文章单独发于bbs.winos.cn，供论坛朋友交流分享，希望能有更多的交流和分享，大家一起学习和提高，因近期有文章被作少许改动后在大型网站转载，并未注明原文作者以及来源为bbs.winos.cn，为支持和保护论坛原创，如需转载或对原文进行修改、裁剪编辑等后再转载，请事先与我取得联系，故作声明，谢谢合作