Windows - Таргетинг на уровне элементов: разрешения для папок

Краткое

Мы работаем в нашей новой среде уже пару месяцев, и все работает просто отлично. Единственная проблема - это управление. У нас есть несколько отделов, несколько компаний, несколько филиалов / офисов и т. Д., И нам сложно управлять спагетти который в настоящее время существует.

Системная информация

Операционная система: Windows Server 2016

Следующее относится к двум машинам (в конечном итоге в режиме высокой доступности).

• Контроллер домена (GPO, Active Directory)
• Сервер хранения (DFS)

Структура

Мы сопоставляем диск с нашими пользователями, который подключается к DFS.
В DFS есть множество вложенных папок, которые, в свою очередь, содержат больше вложенных папок. Структура выглядит примерно так:

Shares
├── Systems
|   ├── System1
|   ├── System2
├── Users
|   ├── Accounting
|   |   ├── Company1
|   |   |   ├── Office1
|   |   |   ├── Office2
|   |   ├── Company2
|   |   |   ├── Office1
|   |   |   ├── Office2
|   ├── General
|   |   ├── Company1
|   |   |   ├── Office1
|   |   |   ├── Office2

У нас есть несколько групп безопасности, например следующие:

Accounting
Company1
Company2
Office1
Office2

Проблема

Мы не можем понять, как мы можем применить какой-то таргетинг на уровне элементов на уровне папки, чтобы обеспечить надлежащий доступ.

Например:

User1 принадлежит к следующим группам:

Accounting
Company1
Office1

User2 принадлежит к следующим группам:

Accounting
Company1
Office2

По логике, наша установка должна быть следующей:

• User1 должен иметь доступ только к \\example.com\Shares\Users\Accounting\Company1\Office1
• User2 должен иметь доступ только к \\example.com\Shares\Users\Accounting\Company1\Office2

К сожалению, эта проблема существует в гораздо большем масштабе, когда вы добавляете несколько отделов (некоторые из которых могут перекрываться) и возможность роли заголовка / отдела (например, Manager у которых должен быть доступ к документам уровня управления для своих соответствующих отделов).

Дополнительно

Мы бы предпочли скрыть любые папки, к которым у пользователей нет доступа. В приведенном выше примере, например, User2 даже не знал бы о существовании \\example.com\Shares\Users\Accounting\Company1\Office1 поскольку пользователь не принадлежит к соответствующим группам безопасности

Мы хотели бы иметь возможность применять некоторые группы безопасности в соответствии с OU, в которое помещен пользователь. Наша текущая структура OU похожа на следующую (которая близко соответствует некоторым группам безопасности, таким как Компания или Офис).

Пример структуры OU

Users
    Company1
        Office1
            User1
        Office2
            User2

Приведенная выше конфигурация (на данный момент не проверена) должна теоретически работать с такими вещами, как назначение принтера, где мы могли бы добавить даже Floor каждому Office при желании и сгруппируйте пользователей по этажам, чтобы назначить принтеры по умолчанию, вторичные принтеры и т. д.

Вопросы

1. Как мы можем гарантировать, что наша структура работает с разрешениями папок, как если бы теоретически с назначением принтера (т. е. таргетингом на уровне элемента)?
2. Как мы можем автоматически назначать группы безопасности пользователям в определенных организационных подразделениях?
3. Если что-то из вышеперечисленного невозможно, как мы можем обеспечить простоту использования для наших пользователей, одновременно увеличивая производительность ИТ и улучшая управление файлами и, следовательно, управление пользователями?