Для установки разрешений для календарей, общедоступных папок и ресурсов должны существовать группы доступа. Чтобы управлять доступом к объектам, необходимо выбрать тип группы доступа - локальная домена, глобальная или универсальная. Поскольку управляемый доступ к совместно используемым объектам очень важен, рекомендуется избегать групп рассылки, дабы уменьшить количество проблемных ситуаций для конечных пользователей и администраторов. Если в организации поддерживается несколько почтовых платформ, то возможна вынужденная поддержка группы рассылки для отображения почтовых списков внешних почтовых систем. При этом следует избегать их применения для коллекций пользователей Exchange 2003.
Наилучшим решением для получения полных функциональных возможностей является использование универсальных групп доступа. Это обеспечивает возможность видеть состав группы по всем доменам и устанавливать права доступа к календарям, совместно используемым файлам, общедоступным папкам и другим ресурсам (всем внутри одной и той же группы). В крупных средах с применением универсальных групп возникает ряд очевидных проблем, которые являются в большей степени политическими, по причине различной сегментации групп, контролирующих электронную почту, каталоги и файловые ресурсы.
С универсальными группами связана еще одна проблема, которая состоит в том, что для поддержки универсальных групп доступа домен Active Directory должен работать в собственном режиме. Это подразумевает то, что все контроллеры домена в данном домене должны выполняться под управлением службы Active Directory операционной системы Windows 2000 или Windows 2003, а не Windows NT 4.0.
Последняя проблема с использованием универсальных групп доступа связана с тем, что они вызывают сложности при репликации. Если членство в группе меняется для одного пользователя, то вся группа полностью дублируется во всех контроллерах данного локального домена и во всех глобальных каталогах леса. Как правило, это не влияет на принятие или непринятие конструкторского решения по поводу организации универсальных групп доступа, тем не менее, сетевые архитекторы должны помнить о существовании упомянутой проблемы, особенно если в сети используются удаленные глобальные каталоги через каналы связи с ограниченной пропускной способностью. В будущих выпусках программного продукта Exchange 2003 способ, по которому Active Directory обрабатывает изменения в составе группы, скорее всего, изменится.

Способ обработки изменений в составе группы Active Directory может привести к проблемам в организации, в которой ежедневно осуществляется автоматическая перестройка универ­сальной группы доступа, причем с помощью собственных приложений или продуктов от не­зависимых разработчиков. На эффективность такой перестройки оказывают влияние раз­меры списка, частота выполнения и число списков.
Несмотря на то что Active Directory в системе Windows 2000 накладывает практическое ог­раничение на размер одной группы до 5000 пользователей, Active Directory в Windows 2003 поддерживает гораздо большее количество пользователей. Если планируется работать с очень большими списками, лучше организовать вложенные списки и поддерживать каждый отдельный список функционально ограниченным.