Tôi có thể hợp nhất hai nhóm sử dụng lịch sử SID không?

Tôi có hai nhóm AD được tạo sai trong khi thay vào đó chỉ có một nhóm; chúng chứa cùng một người dùng. Tuy nhiên, các nhóm này đã được gán nhiều quyền khác nhau trên tài nguyên variuos (như chia sẻ tệp) và tôi không thể theo dõi tất cả chúng và đặt lại chúng để chỉ tham chiếu đến một nhóm.

Tôi có thể "hợp nhất" hai nhóm nếu tôi xóa một trong số chúng và đưa SID của nó vào lịch sử SID của nhóm kia không? Điều này có cho phép các thành viên của nhóm còn lại truy cập vào các tài nguyên mà quyền đã được cấp cho người bị xóa không?

Cập nhật:

Có vẻ như không có cách dễ dàng để thêm SID vào lịch sử SID của người dùng hoặc nhóm; ít nhất, cả ADUC và ADSIEdit đều không thể làm điều này. Nếu thủ thuật được mô tả ở trên hoạt động, làm thế nào điều này có thể thực sự được thực hiện?

— Massimo
nguồn

Tôi không tin rằng bạn có thể làm điều này ... nhưng điều đó nói rằng, bạn có thể xem xét loại bỏ các thành viên khỏi một nhóm và chỉ lồng nhau một nhóm có chứa người dùng bên trong nhóm khác. Điều đó sẽ cho phép bạn giữ cả hai trong ACL và vẫn hoạt động tốt, tôi sẽ đoán.

— TheCleaner

Xin lỗi, có nghĩa là thêm ... điều đó sẽ cho phép bạn chỉ phải cập nhật một thành viên vẫn còn thành viên để thêm / xóa người dùng trong nhóm đó. Đưa nhóm không có thành viên nào trong đó và đổi tên thành nhóm như "NHU CẦU ĐỂ KIỂM TRA" - sau đó bạn có thể ghi chú rằng bất cứ khi nào bạn thấy điều này (hoặc chạy truy vấn ACL cho nó) để thay đổi nó thành lồng nhau thay vào đó ... cuối cùng bạn có thể loại bỏ nhóm "cấp cao nhất".

— TheCleaner

Đây đã là tình huống của chúng tôi, các nhóm đã được lồng nhau. Nhưng chúng tôi thực sự muốn thoát khỏi một nhóm vô dụng.

— Massimo

Bạn không thể sửa đổi SIDHistorythuộc tính vì đây là thuộc tính được bảo vệ.

Một trong những phương pháp được hỗ trợ duy nhất để làm như vậy là sử dụng Công cụ di chuyển AD. Có một số Powershell / script nhưng tất cả chúng sẽ yêu cầu các nhóm cư trú trong các miền / rừng khác nhau.

Cách duy nhất bạn có thể thực hiện được là TheCleaner đã chỉ định. Bạn sẽ biến nhóm mà bạn muốn sử dụng tiến lên (nhóm 1) thành thành viên của nhóm "di sản" (nhóm 2) để tất cả các thành viên của nhóm 1 là thành viên của nhóm 2. Sau đó, bạn sẽ xóa người dùng khỏi nhóm 2 và chỉ cần thêm người dùng mới vào nhóm 1.

— HostBits
nguồn