| Предыдущий | Следующий |
| ERROR_DS_INVALID_GROUP_TYPE | ERROR_DS_NO_NEST_LOCALGROUP_IN_MIXEDDOMAIN |
ERROR_DS_NO_NEST_GLOBALGROUP_IN_MIXEDDOMAIN
Смешанный режим не поддерживает такую схему вложенности глобальных групп
В смешанном режиме Active Directory сохраняет совместимость с поведением старых контроллеров домена. Поэтому глобальные группы безопасности ограничены членами-пользователями и не могут содержать другую глобальную группу. Это отличается от современного домена в основном режиме, где поддерживается вложение глобальных групп из того же домена.
Проверьте режим домена на контроллере домена, обрабатывающем запись членства, и исследуйте значения как родительской группы, так и предполагаемого члена groupType . Перевод вложенной группы в другую область действия не всегда безопасен: универсальные и локальные доменные группы имеют разные правила членства и область действия разрешений. Если устаревших контроллеров больше нет, рассмотрите управляемое повышение функционального режима; иначе разверните вложенность или переработайте цепочку авторизации.
Что проверить
- Убедитесь, что домен действительно работает в смешанном режиме.
- Проверьте, что обе группы являются глобальными группами безопасности.
- Оцените влияние на маркеры доступа до разворачивания вложенности или преобразования групп.
Ссылки
- MS-ADTS: правила глобальных групп в смешанном режиме
- Microsoft: таблица допустимого членства для областей действия групп
- Microsoft: биты области действия groupType
Нужно найти другой код? Найти другой код состояния или ошибки.