Eu acho que já descobri isso ...
- Os usuários vêm do Active Directory, como eu pensava.
- Para adicionar direitos a um usuário, você deve FIRST adicionar uma origem de área de trabalho e e um usuário (até mesmo um novo usuário) para usar o recurso. Parece para trás para mim, mas é assim que funciona.