Изменение прав на добавление рабочих станций в домен

При распределении ролей в организации возникает необходимость дать права на введение в домен строго определенной группе лиц.
Проблема возникает в том, что начиная с домена Windows 2000 простой пользователь имеет право ввести до 10 рабочих станций в домен, что категорически неприемлемо с точки зрения безопасности. Вводить в домен должен только специально выделенный персонал.
Настраиваем.

1. Создаём доменную группу, которой будут предоставлены права добавлять рабочие станции в домен, например "Local Admin"
2. Выбираем OU (AD-контейнер), куда члены этой группы будут добавлять новые ПК, например "domain.local\Workstations"
3. Запускаем "Мастер Делегирования" для этого OU
4. Выбираете нужную группу и предоставляем ей права "Присоединение компьютера к домену"
5. Если необходимо даём дополнительные права, например на перемещение/изменение/удаление ПК-объектов
6. В OU "Domain Controllers" изменяем "Default Domain Controllers Policy" - "Конфигурация компьютера\Политики\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователей", убираем всех из "Добавление рабочих станций к домену"

После того, как права делегированы:

1. Члены группы устанавливают на своих ПК оснастку "Пользователи и компьютеры Active Directory" (Active Directory Users and Computers, ADUC)
2. Запускают ADUC, выбирают нужное OU (контейнер)
3. Создают в нём AD-объект компьютер
4. А затем ПК c именем созданным в п.4 добавляют в домен

Дополнительные ссылки для изучения
Первая ссылка
 https://habr.com/ru/post/174437/
Вторая ссылка
https://docs.microsoft.com/ru-ru/windows/win32/adschema/a-ms-ds-machineaccountquota?redirectedfrom=MSDN