Dentro de cada dominio existe otra jerarquía de objetos diseñada para almacenar información sobre varias entidades y agrupaciones de entidades. Dichas entidades están representadas en AD mediante clases de objeto, que se usan para definir “contenedores” que facilitan la organización de las agrupaciones de objetos. Otras clases de objeto representan entidades como usuarios de red, computadoras, impresoras o servicios de red. Hay dos clases de objeto contenedor que revisten un interés especial: grupo y unidad organizativa (OU). Estas dos clases de objeto permiten que el administrador de AD defina agrupaciones o entidades con el fin de simplificar la aplicación de controles de acceso y otras políticas administrativas. Por ejemplo, puede configurarse un dominio que tenga un contenedor OU denominado “Dept. técnico”, en el que existan varios objetos de grupo cuyo nombre dependa de su función, como “Hardware,” “Software,” y “Soporte”; cada uno de los grupos se configura con una lista de objetos de usuarios miembros, y quizás también de computadoras miembros. Es posible configurar otro nivel de jerarquía más mediante la “anidación” de grupos; una anidación se forma por medio de la inclusión del nombre de un objeto de grupo en la lista de pertenencia de otro objeto de grupo. Debe tenerse en cuenta que cada objeto de grupo de AD cuenta con un “ámbito” asociado que se utiliza para configurar los tipos de relaciones de anidación que se permiten con otros grupos; por ejemplo, cuando el ámbito se define como “Universal”, el grupo puede formar parte de anidaciones que crucen los límites de dominio, pero cuando el ámbito se define como “Local”, este tipo de anidación no está autorizada. Las normas de anidación están disponibles en la documentación de producto de AD que facilita Microsoft. La gama de conmutadores de consola remota de Dell se ha diseñado de forma que sea compatible con todas las normas de anidación definidas para AD.