![246b28fe4c2ebf4b624e6acc721718d8.png](https://i-blog.csdnimg.cn/blog_migrate/c0a2b40effd1f1d8553844010e5b0047.png)
目录
域本地组
全局组
通用组
A-G-DL-P策略
内置组
几个比较重要的域本地组
几个比较重要的全局组、通用组的权限
![647a7f7374e244c0dc15587cf4c6cbb4.gif](https://i-blog.csdnimg.cn/blog_migrate/644b813034f99ceda1d9d20ab1500271.gif)
域本地组
多域用户访问单域资源(访问同一个域)
可以从任何域添加用户账户、通用组和全局组,但只能在其所在域内指派权限。域本地组不能嵌套于其他组中。它主要是用于授予位于本域资源的访问权限。
全局组
单域用户访问多域资源(必须是一个域里面的用户)
只能在创建该全局组的域中添加用户和全局组。可以在域森林的任何域内指派权限。全局组可以嵌套在其他组中。
可以将某个全局组添加到同一个域的另一个全局组中,或者添加到其他域的通用组和域本地组中(不能添加到不同域的全局组中,全局组只能在创建它的域中添加用户和组)。虽然可以通过全局组授予用户访问任何域内资源的权限,但一般不直接用它来进行权限管理。
全局组和域本地组的关系,与域用户账号和本地账号的关系类似。域用户账号可以在全局使