Active Directory è un grande database gerarchico di oggetti, ovvero utenti, gruppi, computer, server, stampanti, unità organizzative. Active Directory fornisce informazioni sugli oggetti, li organizza, controlla l'accesso e ne imposta la sicurezza. Alcuni oggetti sono contenitori di altri oggetti, e sono quindi chiamati oggetti contenitore, mentre gli oggetti che non possono contenere altri oggetti sono detti oggetti foglia. La nidificazione di oggetti all’interno di altri oggetti può continuare fino a che l’ultimo oggetto non risulta essere un oggetto foglia.

Le nuove prescrizioni riguardanti il trattamento dei dati, introdotte con un provvedimento del 27 novembre 2008 ("Misure e accorgimenti prescritti ai titolari dei trattamenti effettuati con strumenti elettronici relativamente alle attribuzioni delle funzioni di amministratore di sistema") e rese obbligatorie tramite proroga a partire dal 15 Dicembre 2009, prevedono l'obbligo di conservare gli "access log" riguardanti gli amministratori di sistema per almeno sei mesi in archivi immodificabili e inalterabili.

In termini generali, le prestazioni indicano il grado di rapidità con cui un computer completa le attività di sistema e le applicazioni, rapidità che potrebbe essere frenata da un lento accesso ai dischi rigidi, da un’insufficiente quantità di memoria disponibile per tutti i processi in esecuzione oppure dalla velocità effettiva delle interfacce di rete.

Mentre gli account utente sono concepiti per i singoli utenti, i gruppi sono concepiti per fornire un'amministrazione semplificata di più utenti. Molto semplicemente, i gruppi sono contenitori di utenti.

In un dominio Active Directory, i gruppi possono essere di due tipi:

Ai primi possono essere associati descrittori di protezione, pertanto vengono impiegati per distribuire l'accesso agli oggetti ed alle risorse del dominio. I secondi sono utilizzate esclusivamente come liste di distribuzione per la posta elettronica.

Se si vuole utilizzare Windows anche in modalità Terminal Server, è necessaria in aggiunta una CAL Terminal Server (Terminal Server Client Access License) per ogni sessione desiderata. Una sessione di Windows viene definita come una sessione nella quale l’utente interagisce con un’interfaccia grafica personale all’interno dello stesso server.

Quando si installa Windows Server 2003, il sistema operativo crea account e gruppi utente predefiniti. Nel caso di un server membro di dominio, che a differenza di un domain controller dispone di utenti e gruppi locali, gli account predefiniti sono locali al singolo sistema in cui sono installati.

Nel caso di un domain controller, che non dispone di utenti e gruppi locali, esiste una controparte di account predefiniti in Active Directory. Pertanto i gruppi predefiniti di un dominio (Builtin Groups) sono gruppi di protezione inseriti automaticamente da Windows Server quando si crea un dominio Active Directory. È possibile utilizzare i gruppi predefiniti per controllare l'accesso alle risorse condivise e delegare ruoli di amministrazione specifici relativi a tutto il dominio.