[KatAst]

WindowsNT, по вашей схеме, сотрудник сможет удалять и добавлять учётные записи. А необходимо, чтобы данная возможность у него отсутствовала.
Плюс, необходимо, чтобы данный сотрудник мог работать только с теми машинами, чьи учётные записи были созданы в определённом, конкретном OU.