Есть "разделение труда" между двумя админами. Один - по администрированию системы, второй - по железкам. Второму время от времени требуются админские права на раб.станциях, поэтому он на каждой - локальный админ. Однако товарищ для своего удобства выводит раб.станции из домена, что надо ему закрыть. В групповой политике есть право Add workstations to domain, это понятно. Ввести в домен он не может, а вот вывести - пожалуйста. Где бы эдак прописать, чтобы, например, выводить машину из домена могли только Domain Admins?