[fibre]

я создал отдельного юзера в домене, ввёл его только в группу domain guests (удалил даже из domain users) и делегировал ему право вводить компы в домен (в "AD - пользователи и компы" правой кнопкой по OU или по Computers, далее "делегирование управления").