问题：
1. 用户控制，我们平时使用资源共享的时候，可以按照组或者单个用户来进行权限控制，那么，当某个文件的访问者只能是各部门主管的时候，怎么办？我们可以给个部门主管创建一个组。当某个文件的访问者只能是各部门助理怎么办？我们给助理创建一个组。……这样下来，会有许多组，个别用户隶属于许多组，给管理带来极大的麻烦。
2. 资源控制，服务器上的共享文件夹只允许被某个部门的主管访问，该如何设置？
3. 设备控制，用户带私人电脑来公司，加入域后是否可以访问公司的文件？
解决办法：DAC
1. 配置DC环境，以支持DAC。
打开Group Policy Management Editor -> Computer Configuration -> Policies -> Administrative Templates:... -> System -> KDC -> in the right panel, edit "KDC support for claims, compound authentication and Kerberos armoring" -> Enabled -> OK
原文：http://www.cnblogs.com/emmagikyo/p/5252892.html