Existe uma configuração do AD que impeça os administradores de redefinir senhas?

Question

Eu tenho dois domínios separados do Windows 2008 AD, um para Dev / Test e outro para Prod.

Eu tenho o código asp.net/c# em um servidor Win2008 / IIS7 que usa chamadas suPrincipal.SetPassword (senha) usando a representação LogonUser com uma conta de administrador de domínio.

O problema é que o mesmo código funciona no meu AD de produção, mas recebo Acesso Negado ao chamá-lo no meu Dev / Test AD usando contas de domínio com permissões idênticas em ambos os domínios.

Existe uma política ou configuração do AD no nível do domínio que possa impedir que um administrador de domínio chame a função SetPassword com problemas?