[ejik_off]

Задачу решил.
если у кого то будет подобный вопрос, решение такое:
Разрешения давались в купе с добавлением машин в домен и переносом его из Computers в свою OU(где у группы есть права создовать\удалять компьютеры) и уже в этой OU пользователи из этой группы могли включать\выключать компы. И в случаи если машины теряла доверии с доменом, эту машину могли сбросить(Reset в русской версии этот пункт меню звучит как "Переустановить учетную запись").
И так для прав Disable\Eneble (включать\выключать) - Идем в свойства OU -> Security->Advanced для нужной группы в окне пермишен переходим на вкладку Properties в поле Apply to выбираем Descendant Computer Objects ставим галку в Write account restrictions
Права на Reset (Переустановить учетную запись) в окне пермишен на вкладке Object в поле Apply to выбираем Descendant Computer Objects и ставим галки в All validated writes и All extended rights