наследование прав в AD
 

Добрый день, коллеги.
Есть OU, на нее делегированы права создавать OU внутри группе пользователей.
Проблема заключается в том, что после создания OU создатель может делегировать себе права на создание любых объектов внутри созданной OU.
Т. е. он становится владельцем OU, а не группа. Также замечено, что если пользователь входит в domain admins, то владельцем становится группа domain admins.
Вопрос: можно ли сделать так, чтобы владельцем всегда становилась группа и где можно почитать про странное предоставление прав (domain admins и user)?
Не связано ли это с AdminsdHolder?

AD DS Owner rights
Смотрите в сторону встроенных групп безопаности - там есть и создатель и его группа.

Не связано, т.к. AdminSDHolder отвечает только за acl административных учетных записей.