Schon einmal versucht MOSS Berechtigungen zu verstehen? Da gibt es eigentlich nur drei wichtige Kernbegriffe, die man verstehen muss:
- Permission Levels (aka. Berechtigungsstufen)
- Groups (aka. Gruppen)
- Site Permissions (aka. Webseitenberechtigungen)
Alles in allem eigentlich überschaubar. Aber die drei Begriffe haben's in sich.

Permission Levels bilden das Grundvokabular der Aktionen, die ein Benutzer ausführen kann. Beispiele sind "Manage Lists", "Override Check Out" eben alles, was an Aktionen auf MOSS stattfinden kann. Alle 33 Permission Levels können in der "Central Administration > Application Management > User Permissions for Web Application"
jeweils auf Webapplication Ebene zur Verfügung aktiviert bzw. deaktiviert werden. (Hinweis: im Standard sind alle aktiv)
Einfach.

Groups assoziiert man selbstverständlich sofort mit Benutzergruppen. Doch falsch gedacht: hier versteckt sich Benutzerrollen! In der "Group"-Konfiguration werden Permission Levels zugeordnet und editiert.Wenn aber nun Groups keine Benutzergruppen sind, wo sind sie dann? Wie bekommen wir die AD-User in MOSS denn nun gruppiert?

Richtig: Site Permissions definieren n:1, welche User welcher Rolle zugewiesen werden und generieren eine Willkommens-Email an die User der "Gruppe", falls das gewünscht wird. Falls keine passenden Rollen definiert wurden, kann man hier das Konzept auch wieder durch direkte Auswahl der Permissions pro User umgehen.

Sind Site Permissions also die wahren Gruppen? Nein, sind sie auch nicht. Sie definieren nur das Mapping zwischen AD-Group bzw. User und Rolle. Aber ganz ehrlich - dieses Labeling hätte man besser machen können. Immerhin funktioniert das Konzept sowohl in MOSS als auch in WSS v3.0 einheitlich...