[GreenIce]

Если пользователя включать в новую группу то права появятся, только после перелогинивания, кстати тоже самое и с исключением.
Если добавлять группу в которую включен пользователь к ресурсу то права на ресурс появятся сразу.

Global/local

Разница в том кто может быть включен в группу, в локальную группу можно включать кого угодно и что угодно кроме локальных групп другого домена
В глобальную группу можно включать только пользователей (не помню точно), зато ее можно включить в любую локальную группу.