MS Windows Server - права на управление пользователями без полных прав админа

Всем привет. Кто знает как можно предоставить в Windows Server какой-то группе права на управление пользователями (заведение, удаление, блокировка, изменение прав, смена пароля) не включая ее в группу администраторов? Может через реестр как-то можно? Или где-то в политиках такое можно настроить?
В частности интересует для MS Windows Server 2019, но тот же вопрос актуален и для 2016 сервера.

Просто есть требование о необходимости наличия отдельного администратора ИБ (включая задачи управления пользователями), но при этом нет желания давать ему все полномочия администратора (чтоб случайно что-то лишнее не мог сделать).
Пока в качестве временного решения все-таки предоставили группе АИБ полные права админов, но это не есть "камильфо" - требуют найти способ сделать как надо без админа.

В инете что-то пока не смог "в лоб" найти. Если кто знает куда копать (можно даже в виде ссылок на статьи на иностранных ресурсах) - дайте знать плиз.