ADのグループの種類について

質問

WindowsServer2003でのActiveDirectryを構築しています。
このドメインでグループを作成する際に、ドメインローカルと
グローバルのスコープがありますがいまいち違いと使い分けが
理解できません。

下記のサイトも参考にしましたが・・・
http://www.atmarkit.co.jp/fwin2k/win2ktips/737groups/groups.html
マイクロソフトではAGDLPという用語でこの順に作成することを
推奨しているようで内容は理解できるのですが、
ドメインローカルのグループをすべてグローバルグループに
置き換えても同じように動作して問題ないように思います。
フォレスト内でアクセス権設定もできるし、他のグループもネスト
できるし、すべてをグローバルグループで構成すると問題があるの
でしょうか？？
レプリケーション時のパフォーマンスとかなのでしょうか？

どうかご教授よろしくお願いします。

回答No.1

toshih2000

>すべてをグローバルグループで構成すると問題があるの
>でしょうか？？
>レプリケーション時のパフォーマンスとかなのでしょうか？

この質問だけに回答するならば、特に問題無く使用でき、
パフォーマンスも影響が無いでしょう。

マイクロソフトの推奨は、そのようにすれば管理がやりやすいですよ。と、提案しているのでは無いでしょうか。

基本的にはリソースに権限等を割り当てる為のグループと、USER等のオブジェクトを分けるグループとを明確にすることは管理する上で重要だと思います。

リソースは基本的には各コンピュータに依存するものなので、ローカルやドメインローカルを使用します。
USER等の人に関するものは、組織によって、係・課・部など階層的になっている様に、権限の範囲等によって、グループを作成する事は管理する上で意味があることではないでしょうか。

お礼

ご回答いただきありがとうございます。

>基本的にはリソースに権限等を割り当てる為のグループと、
>USER等のオブジェクトを分けるグループとを明確にすることは
>管理する上で重要だと思います。
この点については参考情報等にもあり、重要であると認識しており
ますが、この考えや構成は管理する側で明確にし、グローバルグループ
のみで構成できるのではないかというのが確認したい点です。
第三者にわかりやすくするためということなのでしょうか。