工作组用户的授权规则：

         AGDLP规则：

              A:域用户账号

              G:全局组        用来组织账号，成员来自本域，用于全林

              DL:域本地组     用来授权，成员来自全林，用于本域

              P:权限

         通信组：用于邮件列表分发，不能用来授权，也没有SID号

  新建全局组和域本地组

  添加域用户到本地组：

   将本地组加入到域本地组：