Группа ресурсов означает область, она содержит все ресурсы, которыми вы можете управлять с помощью разрешения, назначенного пользователю, назначенному пользователю. Разрешение, назначенное вами назначенному пользователем идентификатору группы, будет наследоваться всем ресурсам в этой группе ресурсов.
И да, вы правы, управляемый идентификатор должен быть субъектом службы в соответствии с капот, который не принадлежит ни к одной группе ресурсов, он просто имеет некоторые разрешения для группы ресурсов. При необходимости он также может иметь разрешение других групп. Разница между назначенным пользователем идентификатором и субъектом службы заключается в том, что назначенный пользователем идентификатор является ресурсом, а субъект службы - нет. Таким образом, назначенная пользователем личность будет отображаться в группе ресурсов, а субъект службы - нет.