Идея возникла из обсуждения. Возможно не очень популярная потребность, но у себя приходилось ставить обработчик, который деактивирует пользователя после синхронизации с AD (в AD деактивировать пользователя нельзя и в другую группу перенести тоже нельзя). P.S. интересно, насколько это востребованно.