Fileserver NTFS Rechte. Admin ändern, User nicht

Tach zusammen

Ich denke aktuell ein bisschen kreuz und quer (lag wohl am letzten WE)

Ich passe aktuell an unserem Fileserver die NTFS Rechte an.

Auf dem Fileserver (2k3srv=dc) gibt es folgende struktur:

e:\ordner 1
e:\ordner 1\1
e:\ordner 1\2

e:\ordner 2
e:\ordner 2\1
e:\ordner 2\2

e:\ordner 3
e:\ordner 3\1
e:\ordner 3\2

e:\ordner 4
e:\ordner 4\1
e:\ordner 4\2


Die User bekommen die Hauptordner 1-4 als Netzlaufwerk verbunden.
Auf den Unterordnern habe ich Ntfs Rechte hinterlegt das nur die User den Ordnerinhalt bearbeiten dürfen die auch in der AD-Gruppe din sind.
Damit die User nicht auf dumme gedanken kommen habe ich die Unterordner mit "Access-based-Enumeration" ausgeblendet auf die sie keinen Zugriff haben.
Jetzt will ich folgendes machen:

1. Die user dürfen direkt auf dem Hauptordner keine ordner löschen
2. Die user dürfen direkt auf dem Hauptordner keine ordner erstellen
3. Die user dürfen direkt auf dem Hauptordner keine ordner umbenennen
4. Die user dürfen direkt auf dem Hauptordner keine ordner verschieben
5. In den unterordnern dürfen sie rumsauen wie sie wollen

Und an dem nächsten Punkt hänge ich gerade:
6. Der Admin darf auf dem Hauptordner erstellen, löschen, umbenennen, verschieben.


Ich will natürlich in den Ntfs Rechten nicht 1000 User/Gruppen hinterlegen.
Da aber der Dom.Admin auch standardmäßig in der Domäne-Benutzer Gruppe drin ist gilt natürlich auch die Verweigern Rechte für ihn.
Verweigern hat ja auch eine höhere Prio wie Erlauben

Kann mir jemand bitte mal einen kleinen Tipp geben.

Danke euch schon mal im vorraus

Mfg
-s-v-o-