en anglais, on retient facilement la formule avec l'acronyme suivant  
A G DL P  
 
Tu mets les Users Accounts (comptes utilisateurs) dans des Global groups, les global groups dans des Domain Local groups, et tu assignes les Permisions au Domain Local group

Tu peux mettre des groupes globaux dans des globaux si ton  
domaine est en mode natif. ( A faire si tu n'as aucun serveur en NT4 )  
Sinon par défaut, le domaine est en mode mixte.  
Il est facile de passer du mode mixte vers natif, mais plus question de faire marche arrière après. ( voir doc, je ne fais pas cela tous les jours ).

Dans la console active directory, clic droit sur le domaine, propriété. Y'a une option pour passer en natif