Материал взят из https://habrahabr.ru/post/174437/
- Создать глобальную группу безопасности grp_AdminComps через оснастку «Active Directory – пользователи и компьютеры».
- Указать, что присоединять компьютеры к домену могут лишь пользователи, входящие в созданную группу grp_AdminComps. Через оснастку «Управление групповой политикой» перейти к редактированию объекта GPO «Default Domain Controllers Policy», который располагается в подразделении «Domain Controllers». В редакторе перейти к узлу «Конфигурация компьютера\Политики\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователей» и найти параметр политики, который называется «Добавление рабочих станций к домену». Изменить этот параметр - добавить группу grp_AdminComps
- Выполнить делегирование для группы grp_AdminComps на создание и удаление объекта компьютер в необходимых подразделениях (это позволит и перемещать компьютер между подразделениями). Для этого в оснастке «Active Directory – пользователи и компьютеры» вызвать контекстное меню (правой кнопокй мыши) для необходимых подразделений и выбрать опцию «Делегирование управления»:
Далее указать группу, для которой делаем делегирование полномочий:
Далее переключить "Создать особую задачу для делегирования
Далее переключить в "только следующими объектами в этой папке", выбрать "Компьютер объектов", установить птицы "Создать в этой папке выбранные объекты", "Удалить из этой папки выбранные объекты":
Далее указать, что делегируется разрешение "Запись"
