Powershell: не удается установить владельца для объектов AD DS

Я хочу запустить Set-ACL на объекте AD DS¹ с участием "Администраторы домена" установлен как владелец в моем созданном объекте ACL. Код выглядит примерно так²:

Function SetDSAcl {
       Param (
        [Microsoft.ActiveDirectory.Management.ADObject]$targetObject   # target object
    )

    $targetACL = Get-Acl "AD:\$($targetObject.DistinguishedName)"
    # [some voodoo to get the values for my new ACE]
    # Create a new AccessRule using the object constructor
    # $newAce = New-Object System.DirectoryServices.ActiveDirectoryAccessRule([...])

    # Add the generated ACE to target's ACL
    $targetAcl.AddAccessRule($newAce)

    # Persist the changed ACL to the object
    Set-ACL -AclObject $targetAcl "AD:\$($targetObject.DistinguishedName)"
}

Но вызов Set-ACL возвращает эту ошибку, когда код выполняется на DC Server 2008 R2 (Powershell v5):

Set-ACL : This security ID may not be assigned as the owner of this object

или более общее исключение «Доступ запрещен» при использовании того же участника безопасности для его запуска со станции управления Server 2012 R2 (Powershell v4):

Set-ACL : Access is denied

Я даже не изменение владелец в данном конкретном случае, но очевидно, что Set-ACL просто переписывает весь дескриптор безопасности.

«Изменить разрешения» и "Изменить владельца" были явно установлены для целевого объекта, и я вполне могу изменить владельца этого самого объекта с помощью графического интерфейса gpmc.msc на все, что захочу, как на DC, так и на управляющей станции, так что это не очевидная проблема с разрешениями. С другой стороны, я также вижу, что код работает, как только он запускается пользователем, который является членом Администраторы домена группа.

У учетной записи, которую я использую, намеренно отсутствует членство в «Администраторах домена» (вместо этого она является членом группы «BUILTIN \ Server Admins»), но она должна иметь возможность свободно устанавливать владельца объекта. Я вижу что Статья MSDN, посвященная этому сообщению об ошибке предлагает "узнайте, каких пользователей и группы вы можете назначить владельцем", что в моем случае бесполезно.

Так что я делаю не так?

¹ в моем случае это GPO, но тип объекта не имеет большого значения, я также видел, как это происходит, например, с OU.

² В Set-Acl -AclObject $targetAcl -Path "AD:\$($targetObject.DistinguishedName)" вызов выглядит как взлом, и это действительно так. Я не могу просто пройти -InputObject $targetObject к Set-ACL так как InputObject ожидает объектный тип, реализующий SetSecurityDescriptor метод, который [Microsoft.ActiveDirectory.Management.ADObject] не выполняет по какой-то загадочной причине.