五、管理Active Directory域组账户
1、域内的组类型
l 安全组：
它可以被用来指定权限，例如你可指定安全组对文件具备读取的权限。也可以被用来在与安全无关的工
作上，例如可以发送电子邮件给安全组。
l 通讯组：
它被用在与安全无关的工作上，例如你可以发送电子邮件给通讯组，但是无法给通信组分配权限。
2、组的范围
l 本地域组（domain local group）
1）、本地域组主要用来分配其所属域内的访问权限，以便可以访问该域的资源。
2）、其成员可以包含任何一个域内的用户、全局组、通用组；也可以包含相同域内的本地域组；但无法包含其他域内的本地域组。
3）、本地域组只能够访问该域内的资源，无法访问其他不同域内的资源；换句话说当你在设置权限时，你只可以设置相同域内的本地域组的权限，无法设置其他不同域内的本地域组的权限。
4）、成员来自全林，用于本地。
3、域组的建立与管理
l 全局组（global group）
1）、全局组主要用来组织用户，也就是你可以将多个即将被赋予相同权限的用户账户加入到同一个全局组内。
2）、全局组内的成员只可以包含相同域内的用户与全局组。
3）、全局组可以访问任何一个域内的资源，也就是说你可以在任何一个域内设置全局组的权限（这个全局组可以位于任何一个域内），以便让此全局组具备权限来访问域内的资源。
4）、成员来自本域，用于全林
l 通用组（universal group）
1）、通用组可以在所有域内被设置访问权限，以便访问所有域内的资源
2）、通用组具备“所有领域”特性，其成员可以包含林中任何一个域内的用户、全局组、通用组，但是它无法包含任何一个域内的域本地组。
3）、通用组可以访问任何一个域内的资源，也就是说你可以在任何一个域内来设置通用组的权限（这个通用组可以位于任何一个域），以便让此通用组具备权限来访问域内的资源。
4）、成员来自树系、用于全林
注：A(Account) G(Global group) DL(Domain Local Group) P(Permission):
4、AD DS内置的域组
l 内置的本地域组
这些本地域组本身已经被赋予了一些权限，以便让其具备管理AD DS域的能力。只要将用户或组加入到这些
组内，这此账户就会自动具备相同的权限。
l 内置的全局组
AD DS内置的全局组本身并没有任何的权利，但是可以将其加入到具备权限的本地域组，或另外直接分配权
限给此全局组。这些内置全局组位于Users内的。
l 内置的通用组
只存在于林根域
l 内置的特殊组
