Всем спасибо! Последние два поста прямо в точку.
Nikitos, про контроллер только для чтения я думал, но не стал (пока что) ставить по двум причинам - нет опыта его использования, мало ли, какие всплывут подводные камни, а ставить нужно было в другой город. А во-вторых, он требует минимум одного DC на базе Win2008 для записи. А у меня таковой только один, который поставлен временно для поддержки GP Preferences. Рискованно завязывать ифраструктуру на один обычный ПК
Переводить на 2008й основные контроллеры времени не было.
А вот тему делегирования я незаслуженно обошел стороной, раньше не нужна была и не знал, что у нее такие широкие возможности. А она похоже как раз для этих целей создавалась. Сейчас нашел отличную статью:
http://www.oszone.net/4435/Active_Directory
начну делать подобное.
Ответ на свой вопрос я получил полностью, спасибо
