[xoxmodav]

Как я понял это только для пользователей локлаьной машины, которые не входят в домен. А как быть если надо для пользователя входящего в домен?

Не путай тёплое с мягким. Пользователь в домене будет продолжать находится в группе "Пользователи домена" и не будет иметь никаких других доменных разрешений, а на рабочей станции ты можешь ему дать локальные права - хоть администраторские, хоть опытного пользователя.

но ведь главной группой все равно останется "Пользователь домена" для этого пользователя.

Ну и что??? При чём здесь это?