to je v pořádku. schopnosti a čas centrální správy it pro všechny pc v doméně končí u prefabrikovaných uživatelů sap a ms office.
je to dáno omezenými programátory pod windows, kteří své produkty netestovali pod jiným než administrátorským účtem. jsou tak vychovaní microsoftem a nikdy je nenapadlo, že něco jako users účet vůbec existuje.

pokud v doméně - třeba v libovolné fabrice - narazíš na oddělení která se živí něčím výš než jsou powerpointové prezentace, díky "kvalitě" těch aplikací jim musíš dát lokální admošská práva.

proto pak ve skupině admoš group najdeš:
"Na tvem pocitaci budou administratori ti, kteri jsou DOMAIN ADMINS ...."
"Administrators - zde je opet ucet helpdesk pak CELOSVETOVAFIRMA/Ja"

jistě, když si s tím chceš vyhrát, možná tu debilní aplikaci rozchodíš i pod omezeným účtem. ale na to nemá centrální it čas, a ty jako uživatel jim to rozmlouvat nebudeš.

a to nemluvím o skvěle zadoménovaných noteboocích s půl tunou firemních aplikací a geniálních omezení, každý měsíc ještě o něco vytuněnějších. pak takový kousek vyneseš na práci domů mimo doménu, a dostaneš nefunkční šrot který kolikrát ani není schopný dokončit logon.

ať neztrácíme čas vymyšlenými příklady: dělal jsem ve firmě siemens-vdo, divize dnes spadá pod continental automotive. ale z občasných komentářů tady vidím, že je to jinde stejné nebo u větších firem ještě horší.