Est-il possible de fournir des droits d'administrateur de domaine complet, mais d'interdire la création de nouveaux comptes administrateurs?

Je souhaite fournir un accès administratif complet aux serveurs d'un domaine à un autre administrateur, à une exception près: l'administrateur ne peut pas créer de nouveaux comptes administrateurs.

J'ai examiné les options disponibles via la délégation du contrôle, mais pas tout à fait sûr de faire ce dont j'ai besoin parce que la délégation de contrôle semble dépendre de la division.