Dlaczego tak
AGDLP oznacza: konta (Accounts) umieszcza się w grupach globalnych (Global), grupy globalne — w grupach lokalnych domeny (Domain Local), a tym ostatnim nadaje się uprawnienia (Permissions) do zasobu. Odwrotne zagnieżdżenie z ostatniej odpowiedzi jest niemożliwe, bo grupa globalna nie może zawierać grupy lokalnej domeny. Grupa dystrybucyjna służy tylko do poczty i nie dostaje uprawnień, a nadawanie ich pojedynczym kontom utrudnia zarządzanie.