Доверительные отношения (администрирование домена)

Добрый день. Есть 2 домена - домен1 москва и домен2 - филиал. Они в разных подсетях
Между контроллерами есть линк (vpn + cisco). На контроллерах созданы дополнительные зоны, между доменами настроены -
тип доверия - лес
направление доверия - двухстороннее
транзитивное доверия

Также в домене 1 есть дочерний домен. Так вот в чём суть. В дочернем домене, администраторы домена1 могут делать любые действия - удалять и добавлять в группы, изменять атрибуты.
В домене 2, настроено "делегирование управления" - учётной записи из домена1 (адм1) делегированы все права на запись\добавление всевозможных атрибутов в домене2. Но после открытия оснастки AD U&C адм1 не может добавлять пользователей в группы например Администратор домена, dhcp, dns. Подскажте в чём ещё возможна загвоздка.