[xoxmodav]

Права даются так:
A (Accounts) - G (Global Groups) - DL (Domain Local Group) - Permissions

т.е. пользователи включаются в глобальные группы (которые создаются согласно разделению, по отделам и т.д.), глобальные группы включаются в доменные локальные (которые создаются согласно доступа к объектам), а уже доменные локальные прописываются уже непосредственно на ресурсы.

При удалении пользователя (ей) не надо будет думать где, на что и какие права ему даны. Он просто тихо и незаметно удалится. Также и при создании нового домена - переделываются только разрешения на ресурсы под доменные локальные группы, что само по себе недолго.