Mikent,
Para delegar este rol específico a usuarios/grupos puedes hacerlo desde la propia GUI de delegación de "Usuarios y equipos de AD"
Revisa este enlace:
http://support.microsoft.com/kb/296999
A parte, siempre es más fácil dar que quitar :-), normalmente cualquier usuario tiene acceso read a la estructura del directorio desde la raiz, si quieres modificar las ACLs de las OUs, te recomiendo que te asegures antes de quitar entradas que puedan resultar
en un problema. Si deniegas el acceso read tendrás problemas de autenticación contra el dominio seguro.
Al final, si el usuario tiene lectura sólo podrá ver la información de atributos del objeto, pero no realizar ninguna modificación sobre estos.
Si quieres modificar la estructura de seguridad de OUs, tendrás que truncar la herencia en las OUs a ocultar y modificar las entradas, échale un ojo a este post, pero repito, esto se debe hacer con un buen análisis ya que comporta riesgo:
http://networkadminkb.com/KB/a23/how-to-hide-or-secure-objects-in-active-directory.aspx
Saludos
Julio Rosua
