Alexey Dmitriev

Это нормальное поведение, ибо у новых сущностей в КК из другого домена другие id.
Пофиксить это можно только вручную изменением id новых пользователей на необходимые в БД КК.

"В результате пользователи должны быть в стандартном контейнере Users". Нет, не должны.
LDAP позволяет указывать любой элемент структуры для начала поиcка, включая корень домена.
Хранить пользователей в Users - это вообще моветон, обычно создается отдельная структура OU.

Прямой ответ на странный вопрос - ссылки на пользователей в AD не возможны.