При вводе машины в домен создаются следующие локальные роли: Локальные роли users и localadmins назначаются для глобальных групп в домене.

Список назначенных ролей и привилегий:

# rolelst
users:vmusers,usershares,cdwriter,cdrom,audio,video,proc,radio,camera,floppy,xgrp,scanner,uucp,vboxusers,fuse,vboxadd
domain admins:localadmins
localadmins:wheel,vboxadd,vboxusers
powerusers:remote,vboxadd,vboxusers
vboxadd:vboxsf
# id ivanov
uid=1187401105(ivanov) gid=1187400513(domain users) группы=1187400513(domain users),1187401110(uds)

Если необходимо выдать права администраторов пользователям, которые не являются администраторами домена (Domain Admins), то нужно на контроллере домена завести новую группу в AD (например, PC Admins):

# samba-tool group add 'PC Admins'
Added group PC Admins

Добавить туда необходимых пользователей (например, пользователя ivanov):

# samba-tool group addmembers 'PC Admins' ivanov
Added members to group PC Admins

Затем на рабочей станции, введённой в домен, добавить роль для данной группы:

# roleadd 'PC Admins' localadmins
# rolelst
users:vmusers,usershares,cdwriter,cdrom,audio,video,proc,radio,camera,floppy,xgrp,scanner,uucp,vboxusers,fuse,vboxadd
domain admins:localadmins
pc admins:localadmins
localadmins:wheel,vboxadd,vboxusers
powerusers:remote,vboxadd,vboxusers
vboxadd:vboxsf

После этого пользователь, входящий в группу PC Admins, сможет получать права администратора.