父组和子组

在下图中，四个用户 MU1、MU2、MU3 和 MU4 都是 Group 1 的成员。 Group 1 还拥有自己的三个用户 OU5、OU6 和 OU7。成员 MU4 在其记录中设置了 GROUP‑ADMIN 属性。

图表说明了组授权。

组 1 是 20、30 和 40 三个组的父组。其中的每个从属组都有两个属于该组成员的用户以及两个该组所拥有的用户。

四个椭圆表明用户 MU4 执行的命令的组范围。它包括 Group 1 拥有的所有用户以及从属于 Group 1 的组所拥有的用户。 MU4 的组范围中的用户是 OU5、OU6、OU7、OU23、OU24、OU33、OU34、OU43 和 OU44。

如果有组从属于拥有用户、组或资源的组 20、30 或 40，则这些组所拥有的记录也属于用户 MU4 执行的命令的组范围。