[Win2k Server] Groups in domain omgeving

[Bor]

Ik ben druk bezig met het doorworstelen van het boek "MCSE Training Kit 70-215 Microsoft Windows 2000 Server". Ik lees op dit moment het hoofdstuk over het gebruiken van groups in een domain omgeving. Ik heb hierover een vraag.

Ten eerste stelt het boek dat er 3 verschillende soorten scopes voor een groep zijn (binnen een win2k native omgeving), te noemen:
1 - Domain local
2- Global
3 - Universal.

Dat is op zich duidelijk. Domain local wordt gebruikt voor het toekennen van permissies tot resources. Global wordt gebruikt voor het organiseren van users die allemaal vergelijkbare toegangswensen hebben mbt het netwerk. Universal groeps laat ik even buiten beschouwing. Tot dusver is het duidelijk bij mij. Echter als ik de voorgestelde aanpak bekijk hoe dit te gebruiken raak ik het spoor kwijt.
Microsoft stelt het volgende stappenplan voor:

Global and domain local group implementation guidelines are identical to the group strategy recommendations for a Windows NT 3.x or 4.0 domain. When you plan to use global and domain local groups, consider the following guidelines:

1 - Identify users with common job responsibilities, and add the user accounts to a global group. For example, in an accounting department, add user accounts for all accountants to a global group called Accounting.

2 - Identify what resources or group of resources, such as related files, users need access to, and then create a domain local group for that resource. For example, if you have a number of color printers in your company, create a domain local group called Color Printers.

3 - Identify all global groups that share the same access needs for resources, and make them members of the appropriate domain local group. For example, add the global groups Accounting, Sales, and Management to the domain local group Color Printers.

4 - Assign the required permissions to the domain local group. For example, assign the necessary permissions to use color printers to the Color Printers group.

Dit snap ik niet. Als ik dit volg krijg ik bijvoorbeeld het volgende:

Stap 1:

Global group Sales
Member - Sales1
Member - Sales2
Member - Sales3

Stap 2:

Domain local group Colorprinters
Member - Printer 1
Member - Printer 2
Member - Printer 3

Stap 3:

Ik voeg de global group sales (en een extra fictive groep accounting) toe aan de domain local group uit stap 2:

Domain local group Colorprinter
Member - Printer 1
Member - Printer 2
Member - Printer 3
Member - Sales (global group)
Member - Accounting (global group)

Stap 4:

Het toekennen van rechten aan de domain local group, namelijk het toekennen van de rechten om de kleurenprinters te gebruiken aan de Colorprinters group.

Mijn vraag is:

Waarom moet ik de global groups aan de domain local group toevoegen en vervolgens rechten toekennen voor deze domain local group om de printers te gebruiken? De printers zelf zitten immers ook in deze group. Hebben de printers rechten nodig om zichzelf te mogen gebruiken?

Wat doe is verkeerd, lees in verkeerd, interpreteer ik verkeerd?

Kortom: wie legt uit hoe stap 3 (en 4) werkt?

Ik heb de search gebruikt en talloze artikelen op internet gelezen echter komen ze steeds met deze aanpak aan.