Rechte delegieren in allen Subdomänen

Hallo zusammen,

ich habe hier eine typische AD-Domänenstruktur mit folgender Logik:

firma.com (als Root)
de.firma.com
at.firma.com
fr.firma.com
usw...

In Deutschland wurden umfangreiche Rechte delegiert (z.B. Passwort zurücksetzen für den Service). Nun möchte ich gerne diese Rechte auch in den anderen Subdomänen einstellen (wir sprechen von knapp 30 Stück) und zwar am besten ohne das bei einer neuen Subdomäne dann manuell machen zu müssen. Gibt es da einen weg das von der Root aus zu vererben?

Also ich stelle mir das so vor, dass ich in der Root das Passwort zurücksetzen für Benutzer an eine Securitygroup "PasswortResetters" delegiere und das dann aber für die root und alle Subdomänen gilt (oder vlt. nicht für die root... )

Aktuell liegen die Securitygroups noch in der de.firma.com Domäne - ich würde aber den Aufwand machen die in die Root zu verschieben wenn es sinn macht, oder ist das eigentlich egal wo die liegen?

Vielen Dank für eure Ideen!

Achja: Domainlevel 2003