Windows Server 2008 Active Directory 群組類型與作用域詳解：安全性群組 vs 通訊群組、網域本機 vs 全域 vs 通用

Active Directory 群組是權限管理核心。理解群組類型與作用域，才能正確規劃授權架構 (A-G-DL-P / A-G-U-DL-P 策略)。

一、群組類型

1. 安全性群組：擁有 SID (安全性識別碼)，可授權存取資源 (檔案/資料夾/印表機/SharePoint...)，亦可作郵件群組發送郵件。
2. 通訊群組：無 SID，不可授權資源存取，僅用於郵件群組發送郵件 (Exchange/Outlook)。

判斷依據：需授權資源 → 安全性群組；僅需群發郵件 → 通訊群組。

二、群組作用域

1. 網域本機群組：
   • 代表「某資源的存取權限」。
   • 成員可包含：同網域使用者/全域群組/通用群組、其他網域/樹系的使用者/全域群組/通用群組。
   • 授權方式：直接對資源 ACL 加入此群組。
   • 範例：建立「列印機使用者」網域本機群組 → 授予列印機列印權限 → 將需列印的使用者/群組加入此群組。
2. 全域群組：
   • 代表「相同職責的使用者集合」。
   • 成員僅限同網域的使用者/全域群組。
   • 範例：建立「會計部」全域群組 → 加入所有會計人員帳號。
3. 通用群組：
   • 同樣代表「職責集合」，但跨網域/樹系可包含任何網域的使用者/全域群組/通用群組。
   • 需樹系功能等級 Windows 2000 原生模式以上。
   • 範例：建立「全公司經理」通用群組 → 加入各子網域的經理帳號/全域群組。

三、多網域授權策略

• 單網域：A-G-DL-P
  帳號 → 全域群組 → 網域本機群組 → 權限 (ACL)
• 多網域/樹系：A-G-U-DL-P
  帳號 → 全域群組 → 通用群組 → 網域本機群組 → 權限

若使用者較少，單網域可簡化為 A-DL-P (帳號直接加入網域本機群組)；但標準架構建議完整落實 AGDLP/AGUDLP，權責清晰、易維護。