[cameron]

Вопрос: как найти, где это разрешение прописано? »

ADUC-вид-допонительные компоненты.
после чего корень домена-свойства-безопасность и изучайте
тот скрин что вы показали не даёт им таких прав, если эта политика не применяется на КД.