Отображение списка юзеров из AD (запрос LDAP)
 

Есть старый КД на WinServ2008 (переделан из 2003, там уже полно костылей и глюков). Приготовил новый домен на WInServ2012r2, создал пользователей, и т.д. - все работает.
Когда дошла очередь до автонастройки Outlook через GPO заметил, что адресная книга LDAP отображается неправильно.

В старом: только активные юзеры, группы в конце списка - все OK.

В новом: юзеры все (в т.ч. отключенные), группы по алфавиту, у группы должно быть поле DysplayName в атрибутах, иначе не показана.

При этом настройка выполнена одним и тем же скриптом, одним и тем же пользователем. Я меняю только домен для адресной книги! Значит, КД отдает список в такой форме.
Может в настройках AD на контроллере где-то есть фильтры выдачи запросов?

Куда копать?