首先，我想指出这个问题纯粹是理论上的。我要求它更好地了解 Active Directory 中不同组的性质。
因此，我创建了两个独立的 Active Directory 林，例如林 A 和林 B。此外，我在它们之间手动创建了双向传递林信任。现在，我想再尝试一件事：允许林 A 中的任何企业管理员在林 B 中执行任何管理任务。
为此，我想将林 A 的“企业管理员”组添加到林 B 的“企业管理员”组。这是不可能的，因为“企业管理员”组只能在同一林中拥有成员。
接下来，我尝试在林B中添加一个中间组。思路是：
A的“企业管理员”==>中间组==> B的“企业管理员”
但是，唯一可以容纳其他林成员的组是“本地组”，它不能是任何其他类型组的成员。
所以，我被困在这里了。有没有可能完成这个任务？
不幸的是，这是不可能的；企业管理员组的范围可以是全局的或通用的，但在任何一种情况下都不能添加来自其他林的安全主体。唯一可以包含来自其他林的安全主体的范围是域本地范围，它永远不能在它所属的域之外使用。这包括子组和用户。
但是，每个域的管理员组是一个域本地组，因此您可以将其他林中的企业管理员组添加到每个域的管理员组中。这可能是您试图避免的繁琐操作，但这是授予此权限的最简单方法。
作为参考，请查看这些 technet 文章：