在Windows Server操作系统中，活动目录（Active Directory，简称AD）是一种关键的身份验证和资源管理工具。它通过组织单元和安全组来控制权限和访问权限，其中全局组、通用组和域本地组是三种不同类型的组，它们各自具有特定的用途和功能。下面将详细介绍这三种组的区别。
1. 全局组（Global Groups）
全局组是活动目录中最基础的组类型，主要用于在一个单一的域内授予权限。它们只能包含来自同一域内的用户账户和联系人。当你需要为一个特定的域内资源设置访问权限时，全局组就非常有用。例如，你可以创建一个名为“销售部门”的全局组，然后将所有销售部门的成员添加到这个组中，之后只要将该组添加到某个文件夹或应用程序的权限列表中，就能一次性给予所有销售部门成员相应的访问权限。
2. 通用组（Universal Groups）
通用组比全局组的范围更广，它们可以跨越多个域，属于同一个目录林中的任何域。这意味着通用组可以包含不同域中的用户和联系人，提供跨域的权限分配。然而，虽然通用组可以跨域，但它们并不自动传播成员身份信息到所有域，需要通过信任关系来实现。通用组通常用于大型组织中，当需要跨多个域分配权限时，如“全球员工”或“所有分公司”。
3. 域本地组（Domain Local Groups）
域本地组的权限作用范围限于其所在的域，但成员身份可以来自任何域，包括域内的全局组、通用组、其他域本地组以及单独的用户账户和联系人。这意味着你可以将来自不同域的用户和组加入到一个域本地组中，然后将这个组赋予权限，以控制对域内资源的访问。例如，你可能有一个名为“服务器管理员”的域本地组，这个组可以包含来自不同域的服务器维护人员，他们可以访问该域内的所有服务器。
总结来说，全局组适用于单个域内的权限分配，通用组适用于跨域的权限管理，而域本地组则用于在特定域内组合来自不同源的成员，并赋予他们对域内资源的访问权限。理解这三者的区别对于有效管理和保护组织的网络资源至关重要。在实际操作中，通常会结合使用这三种组，以实现复杂的安全策略和权限结构。
