Interaction entre groupes

du groupe Users local de machine
sur chaque serveur et station de
travail membre dans le domaine.

Quand vous créez un compte utilisateur
local sur un serveur ou une station
de travail membre, NT ajoute ce
compte au groupe Users local de machine.
Par conséquent, quand vous octroyez
des autorisations ou des droits à 
un groupe Users local de machine,
vous habilitez tous les utilisateurs locaux
de machine et tous les utilisateurs
de domaine, mais quand vous octroyez
des autorisations ou des droits à 
Domain Users, vous habilitez uniquement
les utilisateurs de domaine (pas
les utilisateurs locaux de machine).
Vous pouvez utiliser le groupe Domain
Users global pour accorder l’accès aux
utilisateurs provenant d’un domaine
trusted.

Les nouveaux administrateurs NT
demandent aussi quelle est la différence
entre le groupe Everyone et les
groupes Users. Le groupe Everyone
n’est pas une liste réelle d’utilisateurs ;
c’est simplement un symbole qui inclut
quiconque est connecté localement ou
sur le réseau. Par conséquent, il
n’existe pas de différence réelle entre
Everyone et Users quand votre domaine
ne fait confiance à  aucun autre
domaine. (Le souci d’inclusion d’utilisateurs
non authentifiés dans le
groupe Everyone a conduit Microsoft à 
fournir le groupe Authenticated Users
dans NT, et certaines sources suggèrent
de remplacer les occurrences du
groupe Everyone par Authenticated
Users. Les prétendus risques sont toutefois
largement infondés et je ne
considère pas qu’une telle action en
vaille la peine.) Il existe cependant une
différence quand votre domaine fait
confiance à  au moins un autre domaine.
Dans ce cas, le groupe
Everyone inclut tous les utilisateurs
présents dans votre domaine et les
éventuels domaines trusted, tandis
que le groupe Users ne contient que
des utilisateurs présents dans votre domaine.

NT fait du groupe Domain Admins
global un membre du groupe
Administrators local de l’ordinateur
quand ce dernier rejoint le domaine.
De même, Domain Guests est un
membre du groupe Guests local de
chaque ordinateur. Quand vous utilisez
le compte Guests pour vous
connecter à  votre domaine, vous avez
accès aux objets sur n’importe quel
système de domaine sur lequel des autorisations
ont été accordées à  Guests,
Domain Guests, ou Everyone. C’est
pourquoi je vous recommande de garder
le compte Guests intégré désactivé
(il l’est d’ailleurs par défaut).