[alesander]

В общем настройка делегирования решает проблему. Воспроизвел все в тестовой среде - с галкой "trust computer to delegate" все работает, а без нее - нет.
Осталось доказать клиентским админам, что галка не страшная.

Спасибо Артему Грунину