這個問題的知識範疇屬於Active Directory的Group Scope. Domain local group可以包含任何一種universal group， global group， 本domain內的其他local group， 本forest內的任何domain的account。Local security group可以被賦予可以訪問僅存在於本domain中的資源的許可權。 Global group可以在它所在的domain內使用，還有其內的成員伺服器或工作站，還有信任本domain的domain中使用。在所有這些地方，你可以賦予global group許可權，也可以讓global group成為local group的成員。然而，global group僅能包含它所在domain的使用者帳戶。 Universal group是包含本forest內的任何domain內的使用者，組，計算機的security goup或distribution group。你可以給universal group在本forest中的任何domain中的資源上賦許可權。