Подключение рабочих станций к домену не являясь администратором домена
 

Всем привет.
Не буду рассказывать всю историю, постараюсь изложить кратко.
Нужен пользователь без роли "Администратор домена", который сможет подключать неограниченное количество рабочих станций к домену.

Ввод в домен осуществляется скриптом, который писался вручную.
Есть пустой пользователь, которому дан доступ к OU "New Computers".

Проблема №1:
В скрипте выставлена опция "Creates an account on a domain".
При тестах компьютеров, отключенные учетки которых уже есть в этом OU - выдается ошибка 2224 "The account already exists".
При этом, если тот-же самый тест проводить под ролью "Администратор домена" - ошибок нет, тест проходит нормально.
Вопрос №1:
Каких прав не хватает пользователю?

Проблема №2:
Насколько я слышал, существует ограничение на количество рабочих станций, которые может добавить один пользователь - 10шт.
Вопрос №2:
Как отключить или избежать этого ограничения?

Позже, возможно, допишу еще.

Вопрос №2 снят.
При помощи http://support.microsoft.com/kb/243327 и настроек, уже сделанных ранее - нашел параметр "MS-DS-Machine-Account-Quota".
Установил на 0. В данном случае 0 означает, что пользователь не сможет подключить ни одной рабочей станции к домену (источник http://blogs.techrepublic.com.com/itdojo/?p=1041). Провёл два различных теста - смог. Значит полных прав на OU достаточно.

Остается вопрос №1.

Включите этого пользователя в группу "account operators".

Хотя скрипт и скопмилирован в exe'шник, он остается доступен для чтения. Поэтому продвинутый пользователь может декомпилировать его и вытащить информацию о логине и пароле, использовавшемся для присоединения к домену.
Поэтому задача стоит создать пользователя, который при минимальных повышениях прав доступа сможет присоединять учетки к домену.
Завтра проведу тест под оператором.

не нужно тестировать, если речь идет только лишь о добавлении компьютеров в домен - то добавьте группе пользователей право на create\delete computer object и full control на computer object в контейнер CN=computers,dc=domain,dc=com и такое же право на нужные OU, где у вас располагаются компьютеры

Протестил.
Был неправ.
Даже при наличии у пользователя группы "Операторы учета" или "Администраторы домена" при попытке добавить в OU "New Computers" возвращается ошибка 2224.
Пытался даже CN явно указать. Всёравно ошибка.
При наличии "Операторы учета" или "Администраторы домена" и попытке добавить в стандартный OU ошибки не выдается.
Ладно, пожалуй, тему я отмечу решенной, так как ошибка по сути не имеет отношения к группе "Администраторы домена".
Похоже тут дело в OU "New Computers".