Возможность делегировать разрешениями локального администратора для контроллера домена только для чтения (RODC) любому пользователю домена, не предоставляя ему никаких прав пользователя для домена или другими контроллерами домена.