مدیریت کاربران و گروه‌ها در ویندوز؛ از کامپیوتر خانگی تا دامین و قاعده‌ی AGDLP

کتاب الکترونیکی‌ای که این صفحه معرفی می‌کرد، مدیریت کاربران و گروه‌ها را در ویندوز XP آموزش می‌داد. ویندوز عوض شده، ولی سؤال‌ها همان است: چه کسی باید مدیر سیستم باشد؟ کاربران را یکی‌یکی دسترسی بدهیم یا با گروه؟ اینجا همان سؤال‌ها را در سه اندازه جواب داده‌ایم: یک کامپیوتر خانگی، یک دفتر کوچک بدون سرور، و یک شبکه‌ی دامین.

اندازه‌ی ۱: یک کامپیوتر، چند نفر

مهم‌ترین قاعده در کامپیوتر شخصی یا خانوادگی این است: برای کار روزمره از حساب مدیر استفاده نکنید.

• یک حساب Administrator داشته باشید که فقط برای نصب برنامه و تغییر تنظیمات از آن استفاده می‌کنید.
• برای هر نفر یک حساب Standard جدا بسازید. بدافزاری که با حساب Standard اجرا شود، دسترسی بسیار کمتری به سیستم دارد.
• برای کودکان، حساب خانوادگی (Family) در ویندوز امکان کنترل زمان و محتوا را می‌دهد.

ساخت حساب از تنظیمات ویندوز، بخش Accounts، ساده است. با خط فرمان هم می‌شود؛ دستور اول کاربر را می‌سازد و رمزش را می‌پرسد، و دستور دوم اعضای گروه مدیران را نشان می‌دهد:

net user sara * /add
net localgroup Administrators

اندازه‌ی ۲: دفتر کوچک بدون سرور (Workgroup)

در شبکه‌ی بدون دامین، هر کامپیوتر فهرست کاربران خودش را دارد. یعنی اگر سارا باید به پوشه‌ی اشتراکی روی کامپیوتر حسابداری دسترسی داشته باشد، روی آن کامپیوتر هم باید حسابی برایش ساخته شود. با پنج کامپیوتر این قابل‌مدیریت است؛ با پانزده کامپیوتر به کابوس تبدیل می‌شود.

اندازه‌ی ۳: دامین و قاعده‌ی AGDLP

در دامین، بزرگ‌ترین اشتباه این است که به هر کاربر مستقیم روی پوشه‌ها دسترسی بدهیم. بعد از دو سال، هیچ‌کس نمی‌داند چه کسی به چه چیزی دسترسی دارد. قاعده‌ی استاندارد مایکروسافت برای این کار AGDLP است:

1. A (Accounts): کاربران را بسازید.
2. G (Global groups): کاربران را بر اساس نقش در گروه‌های سراسری بگذارید؛ مثلاً «کارکنان فروش».
3. DL (Domain Local groups): برای هر منبع یک گروه محلی دامین بسازید؛ مثلاً «پوشه‌ی قراردادها – فقط خواندن».
4. P (Permissions): دسترسی روی پوشه را فقط به گروه محلی دامین بدهید، و گروه نقش را عضو آن کنید.

نتیجه: وقتی کارمند جدیدی به فروش می‌آید، فقط او را عضو «کارکنان فروش» می‌کنید و همه‌ی دسترسی‌هایش درست می‌شود. وقتی می‌رود، با یک کلیک همه‌اش برداشته می‌شود.

قدم بعدی

اگر می‌خواهید دامین راه بیندازید، نصب Active Directory و راه‌اندازی دامین را بخوانید. سیاست رمز کاربران را با برگه‌ی بازبینی Password Policy تنظیم کنید و پروفایل کاربران را در مدیریت پروفایل کاربران در دامین. پیاده‌سازی عملی همه‌ی این‌ها در دوره‌ی Windows Server 2025 کاربردی و سناریومحور آمده است.

پرسش‌های رایج