51-й тынц Консалтинг ГрупНет, так как при выводе из домена происходит именно unregister (по-русски не смог) из Active Directory.
При этом проверяется наличие соответствующих прав (на ввод/вывод машин из домена). Проверяется в домене, кэширование роли не играет.

Однако вывести из домен можно из-под локального администратора, путем долгого ковыряния реестра. не соглашусь, т.к. раз двадцать приходилось выводить рабочие станции из домена при отключенной сети (типичная ситуация при клонировании ОС). На запрос пароля просто шлепал Enter. Никаких полномочий, кроме локального администратора на это не нужно. После перезагрузки клиента топал к контроллеру и (если это было не клонирование) удалял из компьютер из домена из оснастки AD Users and Computers.
Потом рабочие станции нормально вводятся в домен.
Важно выдержать такой цикл: выводим из домена в рабочую группу, перезагружаем, {если это не ситуация с клонированием - удаляем из АД с помощью оснастки}, вводим в домен, перезагружаем. Все.