Existem algumas maneiras de lidar com isso tecnicamente:
- Você pode definir campos de leitura para os diferentes grupos, de modo que somente as pessoas desse NAB possam rotear para esse grupo (Guia-chave nas propriedades do documento)
- você pode renomear os grupos para começar com um identificador "exclusivo": DOM1.Administrators, DOM2.Administrators
- Use um catálogo de diretórios para coletar usuários de todos os catálogos de endereços (e não grupos) e use isso no diretório de assistência dos servidores, para que as pessoas simplesmente não vejam os grupos de outras fábricas (ou coletem grupos e façam um agente para remover os duplicados)
Mas, não importa o que você faça tecnicamente, sempre haverá a possibilidade de os usuários contornarem suas restrições.
É melhor você resolver isso organisacionalmente dizendo às pessoas o que fazer e o que parar de fazer.