全局组、域本地组、通用组到底有什么区别？它们之间的关系如何？

全局组：可以全局使用。即：可在本域和有信任关系的其它域中使用，体现的是全局性。 MS 建议的规则：基于组织结构、行政结构规划。
域本地组：只能在本域的域控制器 DC 上使用。 MS 建议的规则：基于资源（夹、打印机 …… ）规划。
在域的混合模式下，只能把全局组加入到域本地组，即 AGDLP 原则。
注意： 2000/03 域的默认模式为：混合模式。则域本地组：只能在本域的域控制器 DC 上使用。若域功能级别转成本机模式（或称 2000 纯模式），甚至 03 模式，域本地组可在全域范围内使用。
说明：全局组和域本地组的关系，非常类似于域用户帐号和本地帐号的关系。域用户帐号，可以全局使用，即在本域和其它关系的其它域中都可以使用，而本地帐号只能在本地机上使用。下面我来举两个例子来进一步说明（以混合模式下为例）：
　　例 1 ：将用户张三（域帐号 Z3 ）加入到域本地组 administrators 中，并不能使 Z3 对非 DC 的域成员计算机有任何特权，但若加入到全局组 Domain Admins 中，张三就是域管理员了，可以在全局使用，对域成员计算机是有特权的。
　　例 2 ：只有在域的 DC 上，对资源（如：文件 / 夹）设置权限，你可以指派域本地组 administrators ；但在非 DC 的域成员计算机上，你是无法设置域本地组 administrators 的权限的。因为它是域本地组，只能在 DC 上使用。

通用组：组的成员情况，记录在全局目录 GC 中，非常适于林中跨域访问使用。集成了全局组和域本地组的长处。

 

AGDLP
A (account): 用户帐户
G (Global group): 全局组
DL (Domain local group): 域本地组
P (Permission): 许可
按照 AGDLP 的原则对用户进行组织和管理起来更容易
在 AGDLP 形成以后当给一个用户某一个权限的时候 , 只要把这个用户加入到某一个本地域组就可以了

 

组是可包含用户、计算机和其他组的活动目录或本机对象。使用组可以控制和管理用户和计算机对活动目录对象及其属性、网络共享位置、文件、目录、打印机等共享资源的访问，还可以向一组用户发送电子邮件。
　　在 Windows 2000 域中，组根据其类型可以分为安全组（ Securiy Group ）和分布组（ Distribution ），根据其范围又可以分为全局组（ Global Group ）、域本地组（ Domain Local Group ）和通用组（ Universal Group ）。组的类型决定组可以管理哪些类型的任务，组的范围决定组可以作用的范围。
　　 1. 组的类型
　　（ 1 ）分布组：分布组一般用于组织用户。使用分布组可以向一组用户发送电子邮件，由于它不能用于与安全有关的功能，不能列于资源和对象权限的选择性访问控制表（ DACL ）中。因此，只有在电子邮件应用程序（如 Exchange ）中才用到分布组。
　　（ 2 ）安全组：安全组一般用于与安全性有关的授权功能。使用安全组可以定义资源和对象权限的选择性访问控制表（ DACL ），控制和管理用户和计算机对活动目录对象及其属性、网络共享位置、文件、目录和打印机等资源和对象的访问。安全组中的成员会自动继承其所属安全组的所有权限。
　　安全组具有分布组的全部功能，也可用作电子邮件实体。当向安全组发送电子邮件时，会将邮件发给安全组的所有成员。
　　 2. 组的范围
　　（ 1 ）全局组：全局组的成员关系和范围如表 1 。

 

表 1 全局组的成员关系和范围

混合模式 本机模式
可包含的成员 本域中的用户账号 　
可加入的组 域本地组 　
作用范围 在本域和所有的信任域中都是可见的
权限范围 森林中所有的域

（ 2 ）域本地组：域本地组的成员关系和范围如表 2 。
表 2 域本地组的成员关系和范围
    混合模式 本机模式
可包含的成员 任何域中的用户账户和全局组 森林中任何域中的用户账户、全局组和通用组
以及本域中的域本地组
可加入的组 不能是任何组的成员 本域中的域本地组
作用范围 只在其自己的域中可见
权限范围 域本地组所在的域

3 ）通用组：域本地组的成员关系和范围见表 3 。
表 3 域本地组的成员关系和范围

    混合模式 本机模式
可包含的成员 不能创建通用组 森林中任何域中的用户账户、全局组和其他的通用组
可加入的组 不能创建通用组 任何域中的域本地组和通用组
作用范围 在森林中的所有域中都是可见的
权限范围 目录林中的所有域

如果要在域目录林中实现对于资源（可以是文件夹或打印机）的访问授权，推荐使用 “AGDLP” 规则。即首先把用户账户（ Account ）加入到全局组（ Global group ），然后把全局组加入到域本地组（ Domain Local group ，可以是本域或其他域的域本地组），最后，对于域本地组进行授权（ Permissions ）。

到了现在，你可能在想 “ 为什么我要用其它组类型，而不用通用组？它给了我要的一切 !” 答案是，因为通用组和它的成员被列在全局编目里 (GC) 。

　　每次 GC 在你的森林的域之间复制时，都包括通用组的成员。与通用组类似，全局组和域本地组也被列在 GC 里，但是，它们的成员并不列在 GC 中。通过在合适的位置使用全局组和域本地组，你能够减小你的 AD DC 的尺寸，这样就会明显地降低保持 GC 最新所产生的复制流量。

　　在选择组范围时，应当仔细选择。在你的域运行在混合模式下时，你不能改变组的范围。如果你运行在纯 (Native) 模式，就允许你把全局组转变通用组，前题是全局组不是另外一个全局的成员，也可以把域本地组转变成通用组，前提是域本地组中不包括另一个域本地组作为它的成员。

　　现在知道了组的范围，再让我们简略地谈谈建立新组最简单的部分－组的名称。在你为组起名时，全局组和域本地组在你创建它们的域里必须是唯一的。而通用组，则必须在整个森林里是唯一的。 特别注意的是，由于 GC 中不仅包含通用组，还包含有通用组的成员信息，因此每次对通用的修改（成员增加 / 删除），都会引发 GC 复制流量。所以，通用组的成员不要经常频繁的发生变化。否则会带来大量的复制流量。另外， WIN2000 在登录时系统需要向 GC 查询用户的通用组成员身份 ，以生成访问令牌，所以在 GC 不可用时， WIN2000 用户有可能不能正常访问网络资源。