Похоже, что я пытался использовать несправедливость DN. Я думал, что древовидный порядок был чем-то как CN=John Doe,OU=Operations Support,OU=Distribution Lists...
но это было на самом деле CN=John Doe,OU=User Accounts...
. Так, я действительно просто не знал о AD структуре.