Роман Безруков, Если быть точнее, то требуется создать группу пользователей, у которых будет возможность создавать/редактировать/удалять других пользователей в AD, а также вводить/выводить компьютеры в домене, устанавливать и удалять программы на локальных компьютерах. При этом явно запретить редактирование политик и всего остального в AD.