text: AGDLP是account, global, domain local, permission的縮寫，簡單說明瞭微軟針對在原生模式Active Directory也是Active Directory和中類似的RBAC實現方式。細節.以角色為基礎的存取控制和傳統的存取控制串列不同，RBAC的許可不是列出細節的各檔案存取方式，而是在特定應用或是系統內有意義的操作。將角色和許可儲存在集中式的資料庫或目錄服務中，簡化了確定和控制各角色成員以及各角色存取許可的流程。稽核可以在一個地方分析存取許可的指定方式，不用去瞭解特定存取層級下，針對各資源的實現細節。單一AD網域中的RBAC.微軟實現RBAC的方式利用了Active Directory中不同的安全群組：表示企業中功能的全域安全群組應該只有使用者或電腦帳號。表示資源存取許可或是其他使用者許可權的網域區域群組，其中應該只有全域安全群組，沒有個別帳號。不應該對帳號或是企業角色直接設定存取許可或是使用者許可權，這樣才能簡化存取許可權的分析。Active Directary森林中的RBAC.Active Directary森林是指多個網域的環境，各個網域可能是透過廣域網或虛擬私人網路連線，會有稱為全域目錄伺服器，在萬用群組的修改需要Active Directary森林層級的的安全許可權，這在大部份的大型企業不太適用。因為這二個限制，讓萬用安全群組沒有完全取代全域安全群組來表示在成員在企業中的角色。在此環境下，用萬用安全群組來表示在公司內的角色，但又維持各網域個別的全域安全群組，就簡稱為AGUDLP。在非AD網域下的RBAC.在Windows NT 4.0或較早版本的網域只有全域說明各使用者的許可權。例子.假設一個共享資料夾， \\nyc-ex-svr-01\groups\bizdev; 是公司行銷部門的業務發展組，在Active Directory中是在全域安全群組「業務開發團隊成員」以下，有要求這整個群組都要可以讀寫共享資料夾，管理者若依AGDLP，其存取控制方式如下：為了要突顯使用RBAC控管許可權的好處，若業務發展組需要bizdev額外的許可權，系統管理者只需要編輯單一的存取控制項，不用編輯其中每一個成員的存取控制項。
metadata: erhwenkuo/wikipedia-zhtw
metadata: AGDLP
metadata: https://zh.wikipedia.org/wiki?curid=7689504