Структура OU в Active Directory
 

Здравствуйте.

Есть холдинг из четырёх компаний. Географически компании расположены в разных городах (Ростов, Краснодар, Ставрополь, Волгоград). Структура отделов во всех компаниях примерно одинаковая: руководство, бухгалтерия, отдел продаж и т.д. Решили развернуть контроллер домена в Ростове, один на всех. В филиалах развернуть RODC. Встал вопрос о организации структуры OU для пользователей и компьютеров.

Вариант 1. Разделить сначала по географии, а потом уже внутри бить по отделам, внутрь класть юзеров.
В таком варианте можно сделать политику для региона и отдельно разрабатывать политики для отделов.


Вариант 2.Разделить сначала по отделам, а потом уже внутри отдела бить по географии, внутрь класть юзеров.

В таком варианте удобно сделать политики для отделов и накатить их на OU каждого отдела. При необходимости поправить политики для каждого региона.

Как лучше и логичнее по вашему мнению? Может существует какой-нибудь третий, и четвёртый вариант? В целом этот вопрос встал когда мы начали думать о подключении сетевых дисков для пользователей. В каждом регионе есть своё файловое хранилище и основной обмен информацией через файловое хранилище идёт в пределах одного региона. Каждому пользователю нужно подключить несколько сетевых дисков со своего файлового хранилища. Это удобно сделать в первом варианте, накатили политику на регион - у всех сотрудников региона появился сетевой диск. Но в этом случае придётся делать политики для каждого из отделов, которые практически неизменны и не зависят от региона. Если отталкиватся о отделов, как во втором варианте, то можно сделать одну политику на отдел, но в каждом отделе нужно для своего региона прописывать свой сетевой диск.

Может есть литература/видео по логике организации структуры в AD?

а можно использовать OU ближе к корню, вида Common Groups, в группы доступна к ресурсам, аля Stavropol_share_users, и далее через нацеливание GPP изголяться как вам удобно.
Но если вы tru$ oLdsch00l и гонятете папки через скрипты, то конечно вам потребуется перк "олд_скул_цмд_гуру +100 к написанию скриптов" ;)

как вариант - попробовать замутить однородную схему именования папок вида %gorod%_share_users, а потом рулить скриптами через фильтры wmi или безопасности.
а что вам мешает разные OU связать с одним существующим объектом групповой политики?
P.S. Я бы использовал схему территориального деления

Мешало недопонимание вопроса. Решили сделать так. Спасибо.