Eu ainda suspeito de estar em busca de comida; essas configurações têm o hábito de não funcionar corretamente. As configurações por zona e configurações por servidor se combinam para criar um comportamento estranho.
Mas não precisamos adivinhar o que está acontecendo. Ative a categoria de auditoria de segurança Directory Service Changes
em seus controladores de domínio; mais informações sobre como fazer isso aqui .
Em seguida, você receberá eventos no log de segurança (especificamente, 5136
para alterações ou 5141
para exclusões) que comunicam exatamente quem, o que e quando as entradas foram afetadas.