Asignar permisos a grupos

Estimados amigos

En la era NT, para asignar permisos a grupos, las mejores prácticas decían
que los grupos locales eran destinados a recursos y los grupos globales a
usuarios, haciendo un nesting los grupos globales son miembros de grupos
locales, y los grupos globales como tienen miembro a los usuarios.

Esta forma de asignar grupos sigue vigente con AD de Windows Server? o la
forma de asignarlos ya cambió, como por ejemplo dar permisos a los grupos
domain local y hacer member a ellos directamente a los usuarios?

Espero vuestras respuestas, y de ser posible algún link en donde pueda
informarme mejor sobre esto.

Atentamente,

Gustavo Genez