AD：你可以成为无限组的成员吗？

Question

Active Directory 帐户可以成为多少个组的成员？

是否有任何硬性限制，或者您是否知道当您超过一定数量的组成员资格时可能出现的其他问题？

背景：我们有一个帐户是 ca 的成员。400 个（可能是嵌套的）组，我们开始看到此帐户的组策略处理问题。

Answer 1

不，由于主体安全令牌的大小，它限制为 1015（包括嵌套组）。 这是一篇讨论 AD 限制（包括组成员资格）的文章。查看安全主体的组成员资格标题。 这是另一篇专门讨论组成员身份的知识库文章。

在处理主体所属域之外的域本地组时，存在例外情况。从上面链接的知识库中：

此行为的唯一例外是并非用户所属的所有域本地安全组都会显示在用户的令牌中。唯一会显示（在用户令牌中）的域本地安全组是用户所属的那些组，这些组也驻留在包含用户登录的计算机帐户的域中。