Tại sao một số nhóm trong âgroupsâ và một số trong âbuildinâ?

tôi có thể di chuyển tất cả các nhóm (và người dùng) mặc định sang â dựng sẵn không? lý do để có một số trong số họ trong thư mục nhóm/người dùng là gì. ví dụ: âNhóm sao chép mật khẩu RODC được phépâ.

Vùng chứa dựng sẵn là vùng chứa mặc định cho các nhóm bảo mật có tiền tố là Miền dựng sẵn SID S-1-5-32. SID cho hiệu trưởng bảo mật nội trang nhất định giống nhau trên mọi hệ thống Windows và không chứa SID miền.

Vùng chứa Người dùng là vùng chứa mặc định cho người dùng và nhóm không được tích hợp sẵn.

Không có lý do gì để di chuyển bất kỳ đối tượng nào vào hoặc ra khỏi vùng chứa Tích hợp.

https://docs.microsoft.com/en-us/windows/security/identity-protection/access-control/security-identifiers

"SID cho các nhóm và tài khoản tích hợp sẵn luôn có cùng một giá trị định danh miền: 32. Giá trị này xác định miền Tích hợp, tồn tại trên mọi máy tính đang chạy phiên bản hệ điều hành Windows Server. Không bao giờ cần thiết phải phân biệt một các nhóm và tài khoản tích hợp của máy tính khỏi các nhóm và tài khoản tích hợp sẵn của máy tính khác vì chúng có phạm vi cục bộ."

Các nhóm BUILTIN là các nhóm cục bộ ban đầu của bộ điều khiển miền đầu tiên trong rừng (đó là lý do tại sao "32" có trong SID). Mặc dù tất cả các nhóm đều là cục bộ của bộ điều khiển miền, nhưng bạn sẽ thấy rằng các nhóm này về cơ bản là các nhóm cục bộ "được chia sẻ" của bộ điều khiển miền. Trong những năm qua, nhiều nhóm cụ thể của Bộ điều khiển miền này đã được thêm vào (chẳng hạn như "Nhóm sao chép mật khẩu RODC được phép")

Ví dụ:

• thêm người dùng vào nhóm BUILTIN\Remote Desktop Users cấp quyền truy cập RDP cho Bộ điều khiển miền
• thêm người dùng vào nhóm người dùng Quản lý từ xa sẽ trao WinRM truy cập vào bộ điều khiển miền
• Print Operator? Đó là quản lý máy in trên bộ điều khiển miền (điều mà bạn không bao giờ nên làm).

Đó là cách dễ hiểu nhất đối với tôi. Cách tốt nhất để nghĩ về chúng - nói chung, bạn không nên sử dụng các nhóm này cho bất kỳ mục đích nào khác.

Về việc liệu chúng có thể di chuyển được hay không? Tôi thường để yên các nhóm BUILTIN, nhưng nếu bạn thực sự quan tâm đến việc dọn dẹp, hãy tham khảo tài liệu này để biết chi tiết về nhóm nào có thể, không thể di chuyển. Hãy chú ý đến tài liệu tham khảo sau:

https://docs.microsoft.com/en-us/windows/security/identity-protection/access-control/active-director...