Роли учетных записей в Project Server 2007 (+Sharepoint) на уровне домена

Всем привет,

у нас стоит ферма MS Project 2007 Server на интерфейсе Sharepoint из трех серверов:

1. контроллер домена (Windows 2008 Server)
2. сервер приложений (Windows 2003 Server + MS Project 2007 Server на интерфейсе Sharepoint )
3. сервер баз данных (Windows 2003 + MS SQL 2005)

Все поставлено и работает.

При установке Шарепоинта и настроек узлов MS Project 2007 Server
необходимо было указать несколько раз пользователей администраторов:

Учетная запись для группы приложений Sharepoint (можно разные на уровне каждого узла в том числе отдельную для MS Project)
Учетная запись для центра администрирования
Учетная запись для общих служб, для новых установок (SPP - SharedServices1)
Учетная запись для общих служб, для новых исправленных (SPP - SharedServices1)
Учетная запись для службы поиска osearch
Учетная запись для службы поиска в справке spsearch
Учетная запись для доступа к содержанию spsearch
Учетная запись для доступа к базам данных

При установке указал пока в качестве учетных записей админа домена, но для безопасности это плохо,
надо видимо создать новые учетные записи для Project и SharePoint -

так вот ВНИМАНИЕ ВОПРОС
какие права должны быть у этих учетных записей на уровне домена?
понятно что можно сделать тупо роль админов домена - но это не есть гут, да и надо обоснование зачем такая рутная роль
Если есть это в документации Микрософта - дайти плиз ссылку - сам не нашел.