[Trouble_Maker]

По логике, как раз таки правильно и будет двигаться справа на лево. Придерживайтесь такого принципа:
1) Создайте группы доступа "глобальные в домене" - это будут ролевые группы, в них вы будете добавлять пользователей. Например: "Директоры по продажам", "Старшие менеджеры отдела продаж"...
2) Создайте группы "Локальные в домене" - это будут группы доступа к ресурсам (папкам, принтерам, на прокси серверах...)
Например: имеем папку на сервере "Отдел продаж" - снимаем с нее наследование, вешаем на нее группы вида:
Access - FileSrv_Отдел продаж_RO, Access - FileSrv_Отдел продаж_RW (read only, read write). Этим группам назначаем соответствуещее названию NTFS разрешения.
3) Если нужно дать доступ директорам по продажам, достаточно ролевую группу "Директора по продажам" добавить в группу Access - FileSrv_Отдел продаж_RO, тогда они получат доступ только на чтение на этой папке

Как правило механизм будет таким, так или иначе: ролевые группы вкладываете в группы доступа, группы доступа вешаете на ресурс.