在一个域中使用组账户为用户分配资源访问权限时，建议使用（）的原则。