一、内置的域本地组
域本地组位于 Active Directory 的 Builtin 组织单位内。以下是几个比较常用
的域本地组
l Administrators
Administrators域本地组组员具备系统管理员的权限，拥有对整个域最大的控制权
，可以执行整个域的管理任务。
默认成员：Administrator帐号、Domain Admins全局组、Enterprise Admins全局
组。
l Server Operators 想要授权其它用户（如二级域管理员）远程桌面登陆域控，必须加入此组。
Server Operators 的组员拥有管理域控制器的权利，例如在域控制器上登录域；
建立、管理、删除域控制器上的共享文件夹与共享打印机；备份与还原文件；锁定
与解开域控制器；将域控制器上的硬盘格式化；更改系统的时间；将域控制器关闭
等。
l Account Operators
Account Operators 的组员可以利用“Active Directory 用户和计算机”来添加
、更改、删除域内的用户帐户与组。不过，无法更改或删除administrators、
Domain Admins、Account Operators、Backup Operators、Printer Operators 和
Server Operators等重要的组。
l Printer Operators
Printer Operators的组员可以建立、停止或管理在域控制器上的共享打印机；可
以将域控制器关闭。
l Backup Operators
Backup Operators的域本地组的组员可以利用“Windows 2000备份”程序来备份和
还原域控制器内的文件夹与文件；可以将域控制器关闭。
l Users
Users域本地组的组员所能够执行的任务，根据指派给它的权利而定；而其所能够
访问的资源，则根据所指派给他的权限而定。
默认的成员：Domain Users全局组
l Guests
Guests域本地组的组员所能够执行的任务，根据指派给它的权利而定；而其所能够
访问的资源，则根据所指派给他的权限而定。此组是供没有Windows 2000用户帐户
，而需要来访问资源的用户使用。
默认成员：用户帐户Guest、Domain Guest全局组。
二、内置的全局组
当建立一个域时，系统会在Active Directory内建立一些内置的全局组。这些全局
组本身并没有任何权利和权限，但是可通过将其加入到具备权利和权限的域本地组
，或直接给此全局组指派权利和权限。内置全局组位于Users 组织单位内。以下列
出几个较常用的全局组
l Domain Admins
Domain Admins全局组内的每个成员也都具备系统管理员的权限和权利。
默认成员：用户帐户Administrator。
l Domain Users
Domain Users组默认的成员：用户帐户Administrator，以后所有添加的域用户帐
户都自动属于Domain Users全局组
l Domain Guest
Domain Gues组默认成员：用户帐户Guest
l Enterprise Admins
Enterprise Admins组中的用户具备管理整个网络的权利，这是通过把此全局组加
入到每个域的Administrators域本地组内来实现的。
三、内置的本地组
l Administrators
Administrators本地组内的用户，都具备系统管理员的权限和权利，他们拥有对这
台计算机最大的控制权，可以执行整台计算机的管理任务。内置的系统管理员账户
Administrator就是此本地组的成员，而且无法将其从此组中删除。如计算机加入
了域，则域上的系统管理员在这台计算机上也具备了系统管理员的权限。
Backup Operators本地组的组员可以利用“Windows 2000备份”程序来备份和还原
该计算机内的文件夹与文件。
Users本地组的组员所能够执行的任务，根据指派给它的权利而定；而其所能够访
问的资源，则根据所指派给他的权限而定。如计算机加入了域，则域上的Domain
Users会自动被加入到此计算机的Users组。
Guests本地组的组员所能够执行的任务，根据指派给它的权利而定；而其所能够访
问的资源，则根据所指派给他的权限而定。此组是供没有Windows 2000用户帐户，
而需要来访问资源的用户使用。此组成员无法改变其桌面的工作环境，默认的成员
为用户帐户Guest。如计算机加入了域，则域上的Domain Guests会自动被加入到此
计算机的Guests组内。
l Power User
Power User组员可以添加、删除、更改本地用户帐户；建立、管理、删除本地计算
机内的共享文件夹与打印机。
四、内置的系统组
系统组位于每台Windows 2000的计算机内，这些组的成员根据用户如何访问资源而
定，无法更改这些组的成员，即无法在“Active Directory 用户和计算机”或“
计算机管理”内看到、管理这些组。这些组只有在设置权利、权限时才看得到。常
用的系统组有：
l Everyone
任何一个访问该计算机的用户都属于这个组。
l Authenticated User
任何一个利用有效的用户帐户来连接的用户都属于此组。建议在设置权限时，尽量
通过Authenticated User组设置，而不要通过Everyone设置。
l Interactive
任何在本地登陆的用户都属于这个组。
l Network
任何通过网络来连接此计算机的用户，都属于这个组。
l Creator Owner
文件夹、文件或打印文件等资源的建立者，就是此资源的Creator Owner，但是如
果建立者属于Administrators组内的成员，则其Creator Owner为Administrators
l Anonymous Logon
任何没有利用有效的Windows 2000帐号连接的用户，都属于此组。
l Dialup
任何利用拨号方式连接的用户，都属于此组。
五、内置特殊组：
Everone 任何一个用户都属于这个组。注意，如果Guest帐号被启用时，则给Everone这个组指派权限时必须小心，因为当一个没有帐户的用户连接计算机时，他被允许自动利用Guest帐户连接，但是因为Guest也是属于Everone组，所以他将具备Everyone所拥有的权限。
Authenticated Users 任何一个利用有效的用户帐户连接的用户都属于这个组。建议在设置权限时，尽量针对Authenticated Users组进行设置，而不要针对Everone进行设置。
Interactive 任何在本地登录的用户都属于这个组。
Network 任何通过网络连接此计算机的用户都属于这个组。
![Windows ❀ AD域服务器的搭建（LDAP协议）[图]](data:image/gif;base64,R0lGODlhAQABAIAAAP///wAAACwAAAAAAQABAAACAkQBADs=)