AD中的三类Group

1、按照Group的作用范围(Scope)，AD中的Group可以分为以下三种类型：
Universal(通用)
Global(全局)
Domain Local(本地域)

这些Group的差异体现在以下属性上：
MemberShip(可以包含的成员)
Can be a Member of (可被那些组包含)
Scope(作用范围)
Can Be Assigned Permission For(可被赋予的权限)

Enterprise Admins和Schema Admins属于Universal Group
Domain Admins是Global Group的一个例子
Administrators是Domain Local Group的一个例子

2、如何使用这些Group？
1) Add Domain User Accounts into Global Groups
2)(Optional) Add Global Groups into Another Global Group
3)Add Global Group into Domain Local Group
4)Assign Resource Permissions to the Domain Local Group
上述原则也被简称为A G G DL P原则。