Por que não podemos alterar diretamente um grupo do escopo global para o domínio local ou vice-versa?

Question

Se precisarmos alterar o escopo de um grupo de global para domínio local ou vice-versa, primeiro precisamos alterá-lo para Universal. Qual é o motivo disso?

    

Answer 1

Suponho que você não pode fazer isso, porque algumas verificações devem ser feitas. Por exemplo, se o escopo do grupo for Domínio Local e contiver entidades estrangeiras (ou seja, contas da floresta externa do AD), a conversão não será possível:

Outra razão pode ser que a interface do usuário e as APIs sejam bem antigas e a Microsoft tenha decidido não adicionar novas funcionalidades - quem sabe (:

ATUALIZAÇÃO: Eu testei o escopo do grupo em mudança com o PowerShell:

Get-ADGroup testgroup | Set-ADGroup -GroupScope Global

O resultado é semelhante:

Set-ADGroup : The request is not supported

Então, na verdade, a verificação é executada pelo controlador de domínio, que retorna o erro 50 (0x32) - ERROR_NOT_SUPPORTED.

Isso significa para mim - não há essa funcionalidade embutida, porque na maioria dos casos a conversão espera trabalho manual, ou seja, remover entidades estrangeiras, etc.

    

Answer 2

Você ainda pode fazer isso, já que o grupo ainda não tem nenhuma associação conflitante. Você pode convertê-lo em universal e voltar ao domínio local.

    

Answer 3

Isso me deixou preso por um minuto também. A solução a seguir funcionou para mim:

Set-ADGroup -Identity (FolderName) -GroupScope Domainlocal