Quais são as consequências de um grupo AD que tem como membro um grupo, que já é membro (referências cíclicas)?

Question

Eu tenho procurado em um Active Directory que tem vários milhares de grupos, onde pares de grupos são membros uns dos outros.

O GroupA tem o Grupo B como membro. GroupB tem GroupA como um membro.

Oi. Estou tentando pensar nas possíveis conseqüências desse aninhamento circular de grupos.

    

Answer 1

Antes de mais nada, tenha cuidado para não ter usuários que sejam membros de muitos grupos. Isso pode fazer com que o token deles seja muito grande e você fica com coisas assim:

E também os GPOs deixarão de ser processados, os scripts de inicialização, etc.

Isso não responde diretamente à sua pergunta, mas vários grupos aninhados podem exacerbar esse problema. Não há nada intrinsecamente terrível sobre os grupos serem membros uns dos outros. Ou seja, o continuum espaço-tempo não será aberto ... as únicas coisas em que posso pensar é que você pode confundir alguns aplicativos que fazem uso extensivo de consultas LDAP ... coisas como o Exchange, etc.

    

Answer 2

Então, eu não diria que é ruim, mas pode ser. Existem algumas razões, uma delas tem a ver com scripts. O aninhamento circular é essencialmente um "loop infinito" porque os scripts usam muitas funções recursivas. Isso obviamente faria com que um script falhasse, etc.

Depois, há a ideia de "simplificação" no AD em que o aninhamento circular é inerentemente contrário.

Existe um script powershell na galeria technet que ajuda a localizar grupos aninhados circulares, você pode encontrá-lo aqui e ajudar na localização de grupos circulares: Localizar grupos aninhados circulares

Dois outros scripts do PowerShell que permitem desenhar grupos aninhados e, assim, ajudam a localizar aninhamento circular rapidamente:

Agrupar grupos de segurança do AD aninhados por MemberOf Back-Link Property

Gravar grupos de segurança do AD aninhados por propriedade do membro     

Answer 3

Não há consequências - pelo menos não no que diz respeito ao Active Directory.

Eu já vi implantações com essa condição várias vezes; a única coisa que quebra é um código mal escrito que recursivamente enumera grupos. E nesses casos, é uma coisa simples verificar esse tipo de loop no código e ignorar os grupos que você já enumerou, ou limitar a profundidade de recursão.