Такого не может быть - права Deny во вкладке Delegation - да и везде в ACL - имеют приоритет над разрешающими.
А вот обновление членства в группе и TGT билете - не мгновенное - если не было команды на обновление билета или ребута машины, после которого билет обновится.
