为什么我们不能直接将组从全局范围更改为域本地，反之亦然？

Question

如果我们需要将组的范围从全局更改为域本地，反之亦然，我们首先需要将其更改为通用。这是什么原因？

Answer 1

我想你不能这样做，因为应该做一些检查。例如，如果组的范围是域本地并且它包含外部主体（即来自外部 AD 林的帐户），则转换是不可能的：

其他原因可能是 UI 和 API 相当陈旧，Microsoft 已决定不添加新功能——谁知道呢（：

更新： 我已经使用 PowerShell 测试了更改组的范围：

Get-ADGroup testgroup | Set-ADGroup -GroupScope Global

结果是类似的：

Set-ADGroup : The request is not supported

所以实际上检查是由域控制器执行的，它返回错误 50 (0x32) - ERROR_NOT_SUPPORTED。

这对我来说意味着 - 没有这样的内置功能，因为在大多数情况下转换需要手动工作，即删除外国委托人等。