[monkkey]

По рекомендации Майкрософт как раз доменный администратор не должен являться агентом восстановления; для этого заводится отдельная учетная запись, пароль от которой хранится в сейфе на случай восстановления. Разграничение доступа к информации определяется политикой фирмы. Можно использовать, к примеру, PGP и т. д., но это уже продолжение (реализация) политики фирмы.