如何有效理解Active Directory中的全局组合本地域的关系

    刚刚接触Active Directory，里面的全局组和本地域就搞得自己焦头烂额。这两个东西理解起来挺明白，但是要给同学们解释就费了劲了，当然这也说明自己对这方面知识掌握的不够扎实。

    这里说一下我自己的理解，可能有哪里会有问题希望大家帮忙指点啊！

    首先，全局组就是在一个“森林”里面，可以让所有的该“森林”的成员域都看到组，它的作用是让本地的用户通过全局组，来获得在其它域里面某些文件或者某些服务器的访问权限；

    而本地域就是属于创建改组的域，它可以让任何同一个“森林”里面的域的全局组成为其成员。成为其成员的目的是访问这个域里面的某些文件或者某些服务器。

    比如：

     两个国家看成两个域，这里就说中国和日本吧！咱们把中国（China.com）的领导人看成一个属于中国的服务器（Chairman.China.com），日本（Japan.com）的领导人看成一个属于日本的服务器（Chairman.Japan.com）。并不是任何一个中国人（China.com的number）随随便便就能进入日本（Japan.com），那么我们就需要组织一个访问团（全局组：Guest），而这时日本的领导层通过中国驻日本的大使馆（本地域：Embassy）收到了访问团要来访问的通知，就会将访问团临时编入大使馆之中（将全局组Guest加入本地域Embassy），再通过大使馆和日本政府协商，日本政府同意会见（给本地域Embassy赋予权限）那么我们的访问团才能和对方的领导人会见（全局组Guest通过域Japan.com给本地域Embassy赋予的权限访问Chairman.Japan.com）