Ensemble d'utilisateurs possédant des besoins identiques en terme de permissions ou d'accès à des ressources.
 Un utilisateur peut appartenir à plusieurs groupes.
 Les groupes peuvent contenir des groupes, et appartenir à plusieurs groupes. 1 groupe = 5000 membres maximum.
 L'inclusion d'utilisateurs dans des groupes a une incidence sur l'ouverture de session (lent si beaucoup de groupes),
 la bande passante utilisée pour transporter cette information, et la réplication du catalogue global de la forêt.
 Sous NT/98, 2 types de groupes : locaux à la machine (icone PC), globaux (icone globe).

 2 catégories de groupes Win2000 :
  - groupes de sécurité : pour gérer l'accès aux ressources du ou des domaines (lecture du groupe contrôlée).
                          Les groupes de sécurité peuvent aussi servir de groupes de distribution.
  - groupes de distribution : pour envoyer un mail à un ensemble d'utilisateurs (pas de support de droits).

 3 étendues de groupes Win2000 :
  - domaine local : membres et permissions dans le domaine uniquement (et seulement vers des machines Win2000 Server).
     Un groupe local n'est visible que dans son propre domaine. Stocké sur machine et contrôleur de domaine.
     Il peut contenir des groupes locaux du même domaine, globaux et universels.
     * Utilisé pour contenir des groupes globaux/universels et poser des permissions sur des ressources du domaine.
  - globale : membres du domaine, permissions sur les domaines de la forêt.
     Créé sur un contrôleur de domaine uniquement. Visible dans son domaine et les domaines approuvés de la forêt.
     En mode mixte, un groupe global ne peut contenir que des utilisateurs du même domaine que le sien.
     En mode natif, il peut aussi contenir des groupes globaux du même domaine que le sien.
     * Utilisé pour organiser les comptes, groupes et ordinateurs, puis inclus dans les domaines locaux adéquats.
  - universelle (domaines natifs Win2000 uniquement !) : membres et permissions dans toute la forêt.
     Un groupe universel est visible dans tous les domaines de la forêt.
     Il peut contenir des comptes et des groupes globaux et universels de n'importe quel domaine de la forêt.
     * Utilisé pour partager des ressources interdomaine (domaines parent/enfant, ou d'arbres différents).

 En vertu de ces contraintes d'appartenance, Microsoft préconise une hiérarchie de ce type :
 Compte < groupe Global [ < groupe Global [ < groupe Universel ] ] < groupe de Domaine Local < Permissions

 users.exe ???			Gestionnaire des Utilisateurs (ajout/suppression/paramétrage)
 net user 		Même chose en mode commande (/add, /delete, ...)

 * Groupes locaux standard :
 - Administrateurs		Peuvent administrer complètement l'ordinateur local et les ressources du domaine
 - Utilisateurs			Utilisateurs courants
 - Utilisateurs avancés		Paramétrage et partage des ressources locales : heure, répertoire, imprimantes
 - Invités			Ont des droits d'accès limités
 - Opérateurs de compte		Sont autorisés à gérer les comptes des utilisateurs et des groupes du domaine.
 - Opérateurs de sauvegarde	Ont des droits outrepassant les permissions sur les répertoires et les fichiers
 - Opérateurs d'impression	Peuvent gérer les imprimantes du domaine
 - Opérateurs de serveur	Admin des serveurs du domaine, arrêter/démarrage du serveur, session locale
 - Duplicateurs			Utilisé uniquement pour le service Duplicateurs de répertoire (dans le domaine)

 * Groupes globaux standards :
 - Administrateurs du domaine	Peuvent administrer complètement les ressources du domaine (groupe local Administrateurs)
 - Utilisateurs du domaine	Sont automatiquement ajoutés au groupe local Utilisateurs
 - Invités du domaine		Sont automatiquement ajoutés au groupe local Invités
 - Administrateurs de l'entreprise		Peuvent gérer tous les domaines de la forêt (groupe universel ou global)
 - Administrateurs de stratégie de groupe	Peuvent gérer les GPO (groupe universel ou global)
 - Administrateurs du schéma	Peuvent gérer les classes et attributs du schéma (groupe universel ou global)
 - Ordinateurs du domaine
 - Contrôleurs du domaine
 - Editeurs de certificats

 * Groupes spéciaux WinNT (remplis automatiquement et dynamiquement) :
 - Utilisateurs interactifs	Utilisateurs n'ouvrant qu'une session locale sur l'ordinateur.
 - Utilisateurs du réseau	Utilisateurs qui se connectent à l'ordinateur à partir du réseau
 - Tout le Monde		Tout utilisateur qui accède à l'ordinateur, localement ou à distance
 - Créateur/propriétaire	Tout utilisateur qui a créé une ressource ou qui s'en est rendu propriétaire
 - Système			Le système d'exploitation
 - Utilisateurs authentifiés	Utilisateurs qui ont ouvert une session avec un nom et un mot de passe

 * Groupes spéciaux Win2000 contrôleur de domaine (remplis automatiquement et dynamiquement)
 - Créateur/propriétaire	Propriétaires des objets système
 - Système			Activités liées au système d'exploitation
 - Réseau			Activités d'utilisateurs provenant du réseau
 - Anonymous logon		Utilisateur non authentifié
 - Utilisateur authentifié	Utilisateur authentifié
 - Batch			Processus batch
 - Dialup			Utilisateur via un accès dial-up
 - Tout le monde		Tout utilisateur authentifié référant au domaine natif ou à un domaine approuvé
 - Interactif			Utilisateur qui accède à une ressource en se connectant localement à l'ordinateur
				proposant cette ressource
 - Service			Un service

 * Groupes intégrés Win2000 non contrôleur de domaine (Server ou Pro) :
 - Administrateurs		(local)
 - Invités			(local)
 - Utilisateurs			(local)
 - Utilisateurs avec pouvoirs	Utilisateurs possédant certains privilèges d'administration (local)
 - Opérateurs de sauvegarde
 - Réplicateurs