Я не знаю о лучших, но когда мне нужно было делегировать администрирование членства в группах TFS, я пошел по пути группы AD.Я выбрал этот подход, поскольку мог делегировать контроль над группой «члены группы» AD группе «администраторы группы» (которая контролировала себя).
Этот подход также позволял использовать те же группы AD для авторизации поставщика.в SharePoint: одна точка контроля для нескольких ресурсов.
Первый вариант был определенно предпочтительным, последний возможен только при использовании подхода AD.
РЕДАКТИРОВАТЬ (для уточнения вопроса): вариант 2(назначение разрешений группам TFS, добавление групп AD в группы TFS, назначение пользователей в группы AD) имеет то преимущество, что группа TFS может иметь несколько членов группы AD (например, проект с участниками из двух организационных групп).
Кроме этого, есть небольшая практическая разница.Я бы выбрал вариант 2 из-за дополнительной гибкости, которую он дает, и потому, что мне не нужно копировать права доступа в другую группу (всегда подверженную ошибкам).