【域】组作用域/组类型

本地域、全局、通用三个有什么区别？

通用 来自全林用于全林
全局 来自本域用于全林
本地 来自全林用于本域
A.OU（组织单元）与Group（组）之对比 
首先我们要明确OU与Group是完全不同的概念，OU的主要是为进行管理上层次组织以及组策略的实施而设立的容器。简单的说，你不能为一个OU设置权限，但是，你可以为一个OU指定组策略，并且，你可以为一个OU将权力委派控制（在2000中是这么说的，但说成是“下放”也不为过）给特定的用户，组，或计算机（有点儿象人事部？），让他（她，它）们对OU内的成员有额外的权利。 
Group相比起OU，分类更为复杂一些。但你可以为组分配权力和权限，这一点OU是做不到的。微软对组的作用的解释是： 
1．管理用户和计算机对资源（网络共享、文件、目录、打印机，以及AD内对象的属性）的访问。 
2．建立 E-Mail 发送列表。 
3．过滤（或筛选）组策略 
总而言之，一句经典的话可以概括OU与Group的不同 
-------------------------------------------- 
OU定义的是谁可以管理我 
组定义的是我可以管理谁 
-------------------------------------------- 
B.组作用域和组类型 
1.组作用域 
组作用域分为三类：Domain Local Group（本地域），Global Group（全局），Universal（通用）。这三类之间的区别，又要分为两种域模式Native Mode（本地模式）和Mixed Mode（混合模式）的不同来区别对待。 
通用作用域 
----------------- 
在本机模式域中，可将其成员作为来自任何域的帐户、来自任何域的全局组和来自任何域的通用组。 
在本机模式域中，不能创建有通用作用域的安全组。 
组可被放入其他组（当域处于本机模式时）并且在任何域中指派权限。 
不能转换为任何其他组作用域。 
全局作用域 
----------------- 
在本机模式域中，可将其成员作为来自相同域的帐户和来自相同域的全局组。 
在本机模式域中，可将其成员作为来自相同域的帐户。 
组可被放入其他组并且在任何域中指派权限。 
只要它不是有全局作用域的任何其他组的成员，则可以转换为通用作用域。 
域本地作用域 
---------------- 
在本机模式域中，可将其成员作为来自任何域的帐户、全局组和通用组，以及来自相同域的域本地组。 
在本机模式域中，可将其成员作为来自任何域的帐户和全局组。 
组可被放入其他域本地组并且仅在相同域中指派权限。 
只要它不把具有域本地作用域的其他组作为其成员，则可转换为通用作用域。 
微软的定义： 
http://www.microsoft.com/technet/prodtechnol/windowsserver2003/zh-chs/library/ServerHelp/79d93e46-ecab-4165-8001-7adc3c9f804e.mspx?mfr=true 
以上表从微软Windows 2000帮助中摘来，可以看到在本机模式下组的功能有多么强大，而在混合模式中，你仅仅可以做到以下：将全局组加入域内本地组。微软推荐这样的一套管理策略：A G DL P 也就是说： 
a.根据管理需要建立全局组（Global Group），同时将用户加入全局组内 
b.建立域本地组（Domain Local Group），将全局组加入不同的域本地组内 
c.将资源的权限给予域本地组。 
事实上，对处于混合模式的域来说，这样的管理出现以下的危机：你只能将本地（域控制器上）文件夹的权限以域本地组，而对成员服务器（没有装AD的服务器）而言，个人在AD中建立的域本地组是不可见的。这样的话，只能在DC上给域本地组指派权限，而无法在成员服务器上给域本地组指派权限，这样新建的域本地组岂不是根本没用。 
2.组类型 
Windows 2000 的域拥有两种组类型，安全组（Security Groups）与分布组（Distribution Groups）。然而，事实上操作系统用到的只有安全组，你可以给安全组赋权，默认情况下我们建立的也是安全组。 
你不能把对象的权限给予分布组，分布组主要是为某些应用程序准备的，而且此应用程序不能用做安全用途。当你需要给同一组的人发送邮件时可能会用到它，这时当然不会涉及到安全问题。 
Windows 2003中分布组叫做通讯组 
可以组合使用全局组、域本地组和通用组，以控制对网络资源的访问。全局组的基本用途是把用户组织到代表其相应域的管理容器之中。通用组可以用于包括来自各种域的全局组，进而在授予权限时进一步管理域层次结构。可以全局组添加到通用组中，然后给资源在物理上所在域本地组分配权限。使用这些方法创建组，管理员就可以在每个域的全局组中添加或删除用户，对整个企业资源的访问进行控制，而无需在多个位置进行更改。