Benutzer aufgaben Delegieren zum erstellen von Konten bzw. Kennwort zurücksetzen

Was muss ich einstellen damit User dies dürfen bzw. können.

Hallo, ich habe ein kleines Problem.

Wir haben einen Windows Server 2003 mit XP-Clients.

Ich möchte das ein Benutzer von einem sehr abgespektem Konto (z. B. Benutzername: "Benuter anlegen") Kontos anlegen und Kennwörter zurücksetzen dürfen.

Mit anderen Worten:

Ein rechner besitzt das AdminPack.
Es gibt ein einziges Konto wo nix weiter gemacht wird, wie Kennwörter der Mitarbeiter zurückzusetzen oder mal einen Benutzer anzulegen.

Mein Problem ist:
Wenn ich dieser Gruppe/Benutzer das delegiere, kann er Benutzer erstellen, Kennwörter zurücksetzen, alles Mögliche ändern und Benutzer Löschen. Das ganze kann er leider überall, inkl Domänen Admins. Außer bei Benutzer der Administratoren.

Ich möchte aber das man von diesem Konto, nur folgende sachen darf.

Administratoren: nix
Domänen-Admins: nix
Gruppe "Benutzer xxx" nix
Gruppe "Benutzer yyy" Kennwort ändern/zurücksetzen, Benutzer Aktivieren / Deaktivieren, Benutzer erstellen (automatisch in Gruppe "yyy")
Sämtliche einstellungen (egal ob "yyy" oder "xxx" sollen nicht verändert werden können (Netzlaufwerk, Anmeldezeiten, Anmelden an...)
Er darf keine Benutzer Löschen können, egal welcher Gruppe er angehört. Erstellen JA Löschen NEIN.

Ich habe schon viele Häckchen probiert bei dem Delegieren, allerdings bekomm ich oft Fehlermeldungen beim Erstellen von Benutzern. Das Deaktivieren bzw. Aktivieren von Benutzern klappt fast immer. Leider auch bei anderen Gruppen wo es nicht gehen soll.

Das Konto was ich dafür habe, habe ich über die Gruppenrichtlinie so weit abgespeckt, dass man nur DAS machen kann. keine Programme, Internet, Festplattenzugriff...

Ich hoffe ich habe das verständlich geschrieben. Weiß nicht wie ich es Erklären soll.