Active Directory kérdés

Sziasztok!

Régen használtam már AD-t, szóval nem vagyok benne túl profi.
A kérésem az, hogy hogyan lehet létrehozni egy olyan usert az AD-ban aki tudja olvasni a csoportok tagjait de nem tud létrehozni semmit és nem admin? Szóval amolyan read only user.

Biztos egyszerű és valszeg én vagyok láma hozzá. Köszi előre is!