Как назначить службе Windows минимальные права для подготовки новых учетных записей

У нас есть служба Windows, которая в настоящее время работает как LOCAL_SYSTEM - фактически локальный администратор. Одна из функций службы - предоставить новые локальные учетные записи и добавить их в определенную группу. Возможно ли следующее?

1. Используйте конкретную учетную запись / группу пользователя для учетной записи службы и назначьте ей привилегии, чтобы она могла создавать новые учетные записи.
2. Ограничьте службу, чтобы она могла создавать только пользователей с ограниченными правами. Например, учетные записи, предоставляемые службой, не имеют интерактивного входа в систему и являются членами определенной группы.
3. Настройте это с помощью PowerShell.

Я предполагал, что это возможно с помощью локальной политики безопасности, но похоже, что это не так. Добавление учетной записи службы к администраторам будет работать, но не поможет мне уменьшить привилегии учетной записи службы.

Все дело в том, что если сервис каким-то образом будет взломан, мы можем ограничить ущерб - хакер может создавать только учетные записи с меньшими привилегиями, чем учетная запись службы.

Обратите внимание, что это относится к локальным учетным записям, а не к учетным записям домена.