Делегирование прав в AD, как?

Question

[Дмитрий Шумов]

Приветствую!
Есть задача, дать права группе как домен админам, но без возможности создавать или удалять пользователей. Делаю через делегирование. На вкладке пермишин, делаю так:

т.е. ставлю Full Control, а затнм убираю галки с Create и Delete.
В итоге, член этой группы, может таки создать пользователя, но ругаеться на то, что не хватает прав на установку пароля, и пользователь будет создан "заблоченым". Так и происходит. А так же у члена группы остаеться возможность удалить пользователя.
Что не так делаю? Какие права нужно дать/отнять?

Answer 1

[Дмитрий Шицков]

Посмотрите эту статью https://habrahabr.ru/post/174437/
Начиная с "Определение задач, для которых было предоставлено делегирование"