Hallo bb-blue,
hast du prüfen können ob der Ad User Domänen Admin war/ist
MS gibt vor das das zu entfernen ist da Ex2010 dann die Vererbung
der AD Objekte in OUs unterbindet. Daher solltes du das User Ad Objekt mal auf die Vererbung seiner Rechte prüfen, denn 2010 hängt das AS Gerät als Objekt an den User. im MMC ADS die Erweiterte Ansicht einschalten und dann das AD Objekt öffnen die Sicherheit aufrufen und unter "Erweitert" die "Vererbbare Berechtigungen des übergeordneten Objekts einschließen" anhaken.
Zudem prüf die AS im Ex Richtlinen auf Notwendigkeit der Passwort vergabe am Endgerät. Wird dies nicht zugelassen oder enfernt geht es auch nicht.