AGDLP

微软实现RBAC的方式利用了Active Directory中不同的安全群组[3][4]：

全域安全群组（Global security groups）

全域范围的网域安全群组代表在企业中的角色，或是在此网域中的功能。这些群组可以包括个别帐号，同一网域内的其他全域群组，也可以用在网域森林中的资源里。这些群组可以经常变更，不会有全局目录拷贝的问题。

网域区域安全群组（Domain local security groups）

网域区域范围的网域安全群组说明细节的访问权限或是用户权限。只有同一个网域的系统可以用到这些群组。网域安全群组可以包括帐号、全域群组、以及任何网域的万用群组（universal groups），也可以包括同一个网域的其他网域区域群组。

表示企业中功能的全域安全群组应该只有用户或电脑帐号。表示资源访问许可或是其他用户权限的网域区域群组，其中应该只有全域安全群组，没有个别帐号。不应该对帐号或是企业角色直接设置访问许可或是用户权限，这样才能简化访问权限的分析。

Active Directary森林是指多个网域的环境，各个网域可能是通过广域网或虚拟私人网络连接，会有称为全域目录服务器（global catalog server）的网域控制器会缓存目录对象对象以及属性型态，以减少跨网域缓慢的目录查找[5]。全域目录服务器缓存的对象包括了万用群组（universal group），不包括全域群组（global group），使得万用群组的成员查找比全域群组的查找要快很多。不过万用群组的任何修改都会触发全域的目录拷贝（而且可能成本很高），在万用群组的修改需要Active Directary森林层级的的安全权限，这在大部份的大型企业不太适用。因为这二个限制，让万用安全群组没有完全取代全域安全群组来表示在成员在企业中的角色。在此环境下，用万用安全群组来表示在公司内的角色，但又维持各网域个别的全域安全群组，就简称为AGUDLP。

在Windows NT 4.0或较早版本的网域只有全域（网域等级）及区域（非网域层级）的群组，在网域等级不支持嵌套群组[6]。缩写AGLP是指这种在较早期网域的RBAC实现：全域（Global）群组表示企业角色，而区域（local）群组（在网域成员数据库中）说明各用户的权限。