Quelles sont les conséquences d'un groupe AD qui a pour membre un groupe, qui est déjà membre (références cycliques)

J'ai regardé un Active Directory qui a plusieurs milliers de groupes, où des paires de groupes sont membres les uns des autres.

GroupA a GroupB comme membre. GroupB a GroupA comme membre.

Oy. J'essaie de réfléchir aux conséquences possibles de cette imbrication circulaire de groupes.

Eh bien, tout d'abord, faites attention à ne pas avoir d'utilisateurs qui sont membres de trop de groupes - cela peut entraîner un jeton trop volumineux et vous vous retrouvez avec des choses comme ceci:

Et les GPO cesseront également d'être traités, les scripts de démarrage, etc.

Cela ne répond pas directement à votre question, mais un groupe de groupes imbriqués peut certainement aggraver ce problème. Il n'y a rien de fondamentalement terrible à ce que des groupes soient membres les uns des autres. c'est-à-dire que le continuum espace-temps ne s'ouvrira pas ... la seule chose à laquelle je peux penser est que vous pourriez confondre certaines applications qui utilisent largement les requêtes LDAP ... des choses comme Exchange, etc.

Donc, je ne dirais pas que c'est mauvais, mais ça peut l'être. Il y a plusieurs raisons, l'une d'elles a à voir avec les scripts. L'imbrication circulaire est essentiellement une "boucle infinie" car les scripts utilisent beaucoup de fonctions récursives. Cela provoquerait évidemment une erreur de script, etc.

Ensuite, il y a l'idée de «simplification» dans AD qui s'oppose intrinsèquement à la circulaire.

Il existe un script PowerShell sur la galerie Technet qui aide à localiser les groupes imbriqués circulaires, vous pouvez le trouver ici et cela vous aidera à localiser les groupes circulaires: Rechercher des groupes imbriqués circulaires

Deux autres scripts PowerShell permettant de dessiner des groupes imbriqués et d'aider ainsi à trouver rapidement une imbrication circulaire:

Il n'y a aucune conséquence - du moins pas en ce qui concerne Active Directory.

J'ai vu plusieurs fois des déploiements avec cette condition; la seule chose qu'il casse est un code mal écrit qui énumère récursivement les groupes. Et dans ces cas, il est simple de vérifier ce type de boucle dans le code et d'ignorer les groupes que vous avez déjà énumérés, ou bien simplement de limiter la profondeur de récursivité.