Zmienianie zakresu lub typu grupy

Zmiana zakresu grupy lub typu nie jest dozwolona w domenach trybu mieszanego. Jednak następujące konwersje są dozwolone w domenach trybu natywnego:

Grupa lokalna domeny na grupę uniwersalną: konwertowana grupa lokalna domeny nie może zawierać innej grupy lokalnej domeny ani członków z innego lasu, którzy w domenie istnieją jako zagraniczne podmioty zabezpieczeń (FSP).

Grupa globalna do grupy uniwersalnej: jest to dozwolone tylko wtedy, gdy grupa globalna nie jest członkiem innej grupy globalnej.

Grupa uniwersalna do grupy globalnej lub lokalnej domeny: do konwersji na grupę globalną konwertowana grupa uniwersalna nie może zawierać użytkowników ani grup globalnych z innej domeny. W przypadku konwersji na grupę lokalną domeny konwertowana grupa uniwersalna nie może być członkiem żadnej grupy uniwersalnej ani grupy lokalnej domeny z innej domeny.

Możesz zmienić grupę globalną na grupę lokalną domeny i odwrotnie za pośrednictwem grupy uniwersalnej. Są to oddzielne kroki, więc za każdym razem powyższe ograniczenia mają zastosowanie.

Uwaga: gdy grupa globalna lub uniwersalna jest konwertowana na grupę lokalną domeny, identyfikator SID tej grupy znajduje się tylko w tokenach dostępu dla członków grupy, w której istnieje domena. Jeśli ten identyfikator SID był używany na Listach Kontroli Dostępu na maszynach w innych domenach, użytkownik uzyskałby dostęp wyłącznie w taki sposób, jakby nie był członkiem grupy.

W trybie natywnym typ grupy można dowolnie konwertować między grupami zabezpieczeń i grupami dystrybucyjnymi.

Należy pamiętać, że jeśli grupa jest używana do ustawiania kontroli dostępu, zmiana zakresu lub typu może mieć wpływ na wpisy kontroli dostępu (ACL), które zawierają grupę. System zabezpieczeń zignoruje elementy ACE zawierające grupy, które nie są grupami zabezpieczeń.