Cómo delegar la administración de DNS y DHCP en Windows Server 2025 sin dar permisos de Domain Admin

Tienes razón con DNSAdmins: sus miembros pueden hacer que el servicio DNS (que corre como SYSTEM en el controlador de dominio) cargue una DLL propia mediante la configuración ServerLevelPluginDll, así que en la práctica es un camino a Domain Admin. Para mínimo privilegio, haría esto:

• DNS: delega por zona y no uses DNSAdmins. Crea un grupo propio (por ejemplo GG_DNS_ZonaX) y añade el usuario. En el administrador de DNS, abre las propiedades de la zona integrada en Active Directory, pestaña Seguridad, y da al grupo solo lo que necesite (por ejemplo, Crear todos los objetos secundarios y escribir, para gestionar registros). Así puede administrar registros de esa zona pero no la configuración del servidor, que es lo que permite el truco de la DLL.
• DHCP: el grupo Administradores de DHCP no da permisos de Domain Admin, solo permite gestionar ámbitos, opciones y reservas en el servidor DHCP. Es mucho menos arriesgado que DNSAdmins, pero ten en cuenta que quien cambia las opciones de DHCP (como el servidor DNS o la puerta de enlace) puede redirigir el tráfico de los clientes. Usa también un grupo propio como miembro de Administradores de DHCP, y Usuarios de DHCP si solo necesita ver.
• Buenas prácticas: que el usuario delegado tenga una cuenta de administración separada de su cuenta normal, que gestione desde un equipo con RSAT en vez de iniciar sesión en el controlador de dominio, y que se audite quién pertenece a esos grupos.
• Si el laboratorio lo permite, lo más limpio es instalar DNS y DHCP en un servidor miembro y no en el controlador de dominio, para que un administrador delegado nunca tenga acceso local al DC.

Una unidad organizativa aparte sirve para delegar permisos sobre objetos de AD (usuarios, equipos), pero no cambia los permisos de DNS ni de DHCP, así que para esto la delegación por zona y los grupos son lo correcto.