全局组不直接拥有权限，仅作为权限分配的中间载体；成员仅限本域用户、计算机及其他全局组，不可跨域添加，须通过加入域本地组并由后者授予权限来实现访问控制。

全局安全组本身不直接“拥有权限”，它的作用是作为权限分配的中间载体——权限始终授予组，再由组包含用户。理解这一点，才能避免常见配置错误。

全局组的核心定位与成员规则

全局组用于归集同一域内的用户或计算机账户，比如“财务部用户”“IT运维人员”。它不能跨域添加其他域的用户，但可以被加入到本域或其他信任域的域本地组中。成员只能是本域对象，这是硬性限制。

• 成员来源：仅限创建该组的域内的用户、计算机、其他全局组（前提是不构成嵌套循环）
• 不能包含：其他域的用户、通用组、域本地组
• 典型用途：按部门、角色、职能聚合人员，为后续权限委派打基础

权限如何通过全局组生效

全局组不直接被授予权限，而是作为“桥梁”进入域本地组，再由域本地组获得对资源的实际权限。这是AGDLP架构的关键一环。

• 正确路径：用户 → 全局组 → 域本地组 → 对OU/文件夹/用户对象等授予权限
• 错误做法：直接给全局组分配“重置密码”或“创建计算机对象”等AD对象权限（技术上可行但违背设计逻辑，后期难维护）
• 示例：将“HR-Global”组加入“HR-ResetPW-DL”域本地组，后者在HR OU上被赋予“重置密码”ACE

策略应用中的全局组角色

组策略（GPO）本身不基于组作用域生效，而是基于链接位置（站点/域/OU）和安全筛选。但全局组常用于安全筛选，控制GPO是否对特定人群生效。

• GPO默认对所有链接范围内的用户/计算机生效
• 启用“安全筛选”后，可只允许“HR-Global”组读取并应用某GPO，其他用户即使在同一OU也不受影响
• 注意：必须同时赋予该组“读取”和“应用组策略”两项权限，否则GPO不会应用

使用限制与注意事项

全局组虽常用，但有实际边界需留意：

• 在混合模式域中，全局组无法转换为通用组；仅在本机模式下支持转换（且需满足无嵌套等条件）
• 全局组成员变更会触发域内复制，但不会触发全局编录（GC）同步——这点比通用组更轻量
• 单域环境中，若无需跨域协作，用全局组+域本地组已足够；多域环境才需谨慎评估是否引入通用组