Olá, boa tarde.
Não existe essa possibilidade.
A unica maneira é o usuário responsável pela troca das senhas ser pelo menos um Server administrator, e mesmo assim, se ele abrir o mmc pela estação dele, ele pode causar danos graves em seu dominio.
Na empresa que trabalho, utilizei uma ferramenta externa que nos atende muito bem, chama-se Net IQ DRA (Directory and Resourses Administrator. Nela eu consigo especificar quais usuários possuem acesso a mudar senha, quais tem acesso a parar, iniciar ou reiniciar serviços especificos do DC, e muito mais coisas.
Espero ter ajudado.
Abraço
