A resposta para isso é muito simples. O CRM 2011 em uma configuração de vários inquilinos permite que os usuários se vejam no diretório, independentemente do contêiner da UO. Dada a minha razão para a separação da DA ter sido impedir que os usuários nas organizações vissem uns aos outros, isso não é mais um fator.
Uma estrutura de AD simples, mas eficaz, que é viável para hospedar o CRM 2011, é assim:
domain.local
- Controladores de domínio
- Usuários
- CRM
-
CLIENTES
- Cliente A
- Cliente B
Essa estrutura permite que você especifique onde os grupos de segurança do CRM serão criados (UO do CRM) e, ao fornecer usuários a organizações diferentes, você pode mantê-los organizados criando a UO de clientes.