# จัดการกลุ่มผู้ใช้โดเมน AD

Canonical: https://www.nsecsoft.com/th/docs/ping64-identity-access/ad-domain/domain-objects/manage-domain-groups/

Language: th-TH

Updated: 2026-11-15T04:10:36.276528Z

หน้ากลุ่มในการจัดการโดเมน AD แสดงกลุ่มไดเรกทอรีที่ซิงโครไนซ์มายังแพลตฟอร์ม และเมื่อมีสิทธิ์สามารถสร้าง แก้ไข ปรับความสัมพันธ์สมาชิก ย้ายหรือลบกลุ่ม การดำเนินการกระทบ AD จริง ไม่ใช่การแก้บทบาทผู้ดูแล Ping64 หรือกลุ่มอุปกรณ์ปลายทาง กลุ่มและสมาชิกอาจมีผลต่อการเข้าถึงทรัพยากรและแอป การส่งงาน อนุมัติ และดำเนินการในไดเรกทอรีเป็นคนละสถานะ

ป้ายภาษาอังกฤษด้านล่างเป็นชื่อหน้าจอที่ตรวจสอบแล้วพร้อมคำอธิบายภาษาไทย

## การเตรียมการ

-   ทำ[การตั้งค่าการเชื่อมต่อและขอบเขตโดเมน AD](https://www.nsecsoft.com/th/docs/ping64-identity-access/ad-domain/domain-connection/domain-connection/)ให้เสร็จ ตรวจสถานะโดเมน ผลซิงโครไนซ์ สิทธิ์ไดเรกทอรี เครือข่าย และสิทธิ์ดู เขียน หรือดำเนินการของผู้ดูแล
-   ยืนยันโดเมนเป้าหมาย ตำแหน่ง วัตถุประสงค์ ประเภทและขอบเขตกลุ่ม สมาชิกที่จะเพิ่มหรือลบ และการพึ่งพาทางธุรกิจ ประเมินกลุ่มสำคัญหรือสิทธิ์สูงและขออนุมัติตามข้อกำหนดองค์กร
-   ใช้โดเมนทดสอบและออบเจ็กต์ที่ควบคุมเพื่อตรวจการอนุมัติและการดำเนินการ ก่อนย้ายหรือลบให้เตรียมแผนกู้คืนที่ตรวจสอบแล้ว ไม่สมมติว่าออบเจ็กต์กู้คืนอัตโนมัติได้

## ตั้งค่าการอนุมัติสำหรับการดำเนินการกลุ่ม

ดูการตั้งค่าทั้งหมดใน [กฎอนุมัติการดำเนินการโดเมน AD](https://www.nsecsoft.com/th/docs/ping64-identity-access/ad-domain/approvals/rules/)

1.  หากองค์กรกำหนดให้ การสร้างกลุ่ม การเปลี่ยนสมาชิกโดยตรงและกลุ่มแม่โดยตรง การย้ายและลบ ต้องอนุมัติ ให้เปิด **Audit Events > Platform Operations > Operation Audit > Approval rule** ใน AD Domain Management และตรวจกฎที่เปิดใช้งานกับแม่แบบอนุมัติการดำเนินการโดเมน AD ที่เหมาะสม ตรวจแต่ละการดำเนินการ โดเมน จำนวนเป้าหมาย บทบาทผู้ขอ ลำดับความสำคัญและผู้อนุมัติ ใช้กฎเดิมหากเหมาะสม และให้ผู้มีสิทธิ์สร้างหรือปรับเฉพาะเมื่อจำเป็นตามบทกฎ
2.  เงื่อนไขที่ระบุต้องตรงทั้งหมด หากไม่ระบุโดเมนหรือบทบาทผู้ขอจะไม่จำกัดเงื่อนไขนั้น เมื่อเลือกหลายบทบาท ผู้ขอมีบทบาทที่เลือกและเปิดใช้งานเพียงหนึ่งบทบาทก็พอ ให้ลบหรือแทนบทบาทที่ใช้ไม่ได้ก่อนบันทึก หากตรงหลายกฎจะพิจารณาตัวเลขสูงกว่าก่อน หลังแก้ไขให้บันทึกและทดสอบทั้งกรณีที่ต้องและไม่ต้องอนุมัติด้วยออบเจ็กต์ที่ควบคุม พร้อมตรวจผลอนุมัติและการดำเนินการในไดเรกทอรี **การดำเนินการที่ไม่ตรงกฎที่เปิดใช้งานจะเข้าสู่การดำเนินการโดยตรง ไม่รออนุมัติโดยอัตโนมัติ** ประเมินผลกระทบและเตรียมการกู้คืนก่อนทดสอบ

## ค้นหาและสร้างกลุ่ม

1.  เปิดหน้ากลุ่ม เลือกโดเมนต้นทางและกรองด้วยคำค้น ประเภทหรือขอบเขตตามต้องการ ตรวจชื่อและข้อมูลไดเรกทอรี รายการขึ้นกับการซิงโครไนซ์ หากไม่พบกลุ่มให้ตรวจขอบเขตและผลล่าสุด
2.  เลือก **Create group** (สร้างกลุ่ม) เลือกโดเมนเป้าหมายและหน่วยองค์กรหรือคอนเทนเนอร์หลักหนึ่งรายการ ระบุชื่อและชื่อล็อกอิน พร้อมชื่อแสดงตามต้องการ
3.  เลือกขอบเขตและประเภทกลุ่มในส่วนประเภทและคำอธิบาย เพิ่มคำอธิบายตามจำเป็น ค่าเริ่มต้นเป็น global และ security แต่ต้องตรวจความเหมาะสมกับโดเมนจริง ไม่สมมติว่าเหมาะกับทุกกรณี
4.  ตรวจโดเมน ตำแหน่งและข้อมูลกลุ่มแล้วส่งตามคำแนะนำ หากต้องอนุมัติให้ติดตามในส่วนอนุมัติโดเมน AD มิฉะนั้นติดตามการดำเนินการตามหน้าจอ รอผลไดเรกทอรีแล้วค้นหาและตรวจสถานะอีกครั้ง การส่งหรืออนุมัติไม่ยืนยันการสร้างสำเร็จ

## เปลี่ยนคุณสมบัติ ความสัมพันธ์ และตำแหน่ง

1.  เปิดรายละเอียดจัดการกลุ่มและตรวจข้อมูลไดเรกทอรีปัจจุบัน ปรับคุณสมบัติที่อนุญาตในข้อมูลกลุ่มหรือ **Type and scope** (ประเภทและขอบเขต) แล้วบันทึก การเปลี่ยนประเภทหรือขอบเขตอาจกระทบสมาชิกและการเข้าถึง จึงต้องประเมินและปฏิบัติตามการตรวจสอบจริงของ AD เป้าหมาย
2.  เปิด **Group relationships** (ความสัมพันธ์กลุ่ม) และรออ่านความสัมพันธ์โดยตรง ในสมาชิกโดยตรงให้ตรวจและเลือกผู้ใช้ กลุ่ม คอมพิวเตอร์ หรือผู้ติดต่อที่จะเพิ่มหรือลบ ส่วนกลุ่มหลักโดยตรงใช้จัดการกลุ่มที่กลุ่มนี้สังกัดโดยตรง ทั้งสองมีทิศทางต่างกัน ชื่อช่องในหน้าจอคือ **Direct members** และ **Direct parent groups** ตามลำดับ
3.  บันทึกสมาชิกโดยตรงและกลุ่มหลักโดยตรงด้วยคำสั่งของแต่ละส่วนแยกกัน หากแก้ทั้งสองส่วนต้องตรวจ บันทึก และติดตามแยกกัน การบันทึกส่วนหนึ่งไม่ส่งอีกส่วน ปุ่มที่ใช้ตามลำดับคือ **Save members** และ **Save parent groups**
4.  หากย้าย ให้ตรวจตำแหน่งปัจจุบันและเป้าหมายใน **Directory location** (ตำแหน่งไดเรกทอรี) เลือกปลายทางและส่ง ยืนยันและติดตามการอนุมัติหรือการดำเนินการของสมาชิก กลุ่มหลักและตำแหน่งแต่ละรายการ หลังเสร็จอ่านไดเรกทอรีใหม่ ตรวจความสัมพันธ์และตำแหน่งจริง ส่วนการสืบทอดทางอ้อมและการเข้าถึงสุดท้ายต้องตรวจแยกในสภาพแวดล้อมเป้าหมาย
5.  หากแจ้งว่าออบเจ็กต์หรือความสัมพันธ์เปลี่ยน อ่านไม่สำเร็จ หรือต้องรีเฟรช ให้โหลดข้อมูลล่าสุด ตรวจการเปลี่ยนของผู้ดูแลอื่นและผลที่ต้องการก่อนส่ง ไม่ใช้ข้อมูลเก่า

## ลบและแก้ไขปัญหา

-   **ลบกลุ่ม:** ตรวจโดเมน สมาชิกโดยตรง กลุ่มหลักและการพึ่งพาของแอป ประเมินผลธุรกิจและเตรียมกู้คืน เลือกลบ ยืนยัน และติดตามการอนุมัติกับผลไดเรกทอรีจริง อย่าสมมติว่ากู้คืนอัตโนมัติ
-   **ไม่พบกลุ่ม:** ตรวจโดเมนต้นทาง ตัวกรอง ขอบเขตซิงโครไนซ์ สถานะงานและการเชื่อมต่อ รายการที่ซิงโครไนซ์กับรายละเอียดปัจจุบันอาจต่างกัน
-   **สร้างหรือแก้แล้วไม่เห็นทันที:** ตรวจว่ายังอนุมัติหรือดำเนินการอยู่และดูบันทึกในเหตุการณ์ตรวจสอบส่วนการดำเนินการแพลตฟอร์ม ตรวจไดเรกทอรีเมื่อได้สถานะสุดท้าย ไม่ส่งซ้ำหลายครั้ง
-   **เลือกสมาชิกหรือบันทึกไม่ได้:** ตรวจเป้าหมาย ประเภทและขอบเขตกลุ่ม สิทธิ์และการเชื่อมต่อ รวมถึงข้อจำกัดจริงของ AD เป้าหมาย
-   **ไม่เข้าสู่การอนุมัติตามคาด:** ตรวจกฎที่เปิดใช้ การดำเนินการ โดเมน จำนวนเป้าหมาย บทบาท ลำดับ และแม่แบบ หากไม่ตรงอาจดำเนินการโดยตรง
-   **ลบหรือย้ายล้มเหลว:** ตรวจสถานะออบเจ็กต์ สมาชิกและกลุ่มหลัก สิทธิ์และข้อความ ติดต่อผู้ดูแลไดเรกทอรีเมื่อจำเป็น ไม่เลี่ยงการป้องกัน