Ok meu amigo, o que eu postei acima foi justamente o meio que encontrei para resolver algo similar ao seu problema, pois alguns usuários estavam conectando no AD e outros não, então procurei reparar no AD que configurações os usuários que conseguiam se conectar no Spark tinham que os outros usuários que não se conectavam, não tinham.
No seu caso, pelo que entendi, você segrega usuários a logarem somente em um determinado grupo de máquinas. Do meu ponto de vista talvez seja o seu mapeamento de permissões do AD que esteja "diferente dos padrões" que utilizamos para se trabalhar com Openfire integrado ao AD. Talvez no seu caso, eu criaria sub-árvores do domínio principal e segregaria estes usuários à elas(veja bem, não sou analista de redes, mas já vi ADs funcionando desta maneira) e acho que talvez desta maneira você não teria este tipo de problema.