Группа AD добавлена ​​к локальным администраторам, не работающим на подключенном к домену ПК - нужно ли добавлять пользователя непосредственно к локальным администраторам?

Я рву на этом за волосы и не понимаю, чего мне не хватает.

У меня есть администратор по имени Боб. Я добавил Боба в глобальную группу безопасности LocalAdmins.

Мы переходим к ПК (Гарри), который присоединен к домену, добавляем группу «LocalAdmins» в группу «Администраторы» в разделе «Локальные пользователи и группы» и перезагружаемся.

Боб пытается установить какое-то программное обеспечение на компьютер Гарри, он запрашивает учетные данные, поскольку у Гарри нет прав администратора, и Боб вводит свои учетные данные. Это не работает. (также попробовал щелкнуть правой кнопкой мыши, запустить от имени администратора, тот же результат)

Я удаляю группу LocalAdmins из группы Local Admins и добавляю Боба напрямую.

Перезагрузка. Боб может установить программное обеспечение на компьютер Гарри.

Я проверил, что в домене Боб входит в группу AD LocalAdmins с помощью:

ЧИСТЫЙ ПОЛЬЗОВАТЕЛЬ боб / домен

Я убедился, что LocalAdmins появляется, когда я запускаю "net localgroup Administrators".

В этом нет никакого смысла. Что-то мне не хватает?

Я не использую для этого GPO или что-то подобное, просто делаю это вручную.

Уровень домена - Win 2003 (думал, что у нас работают все контроллеры домена Win 2012)