域控制器SYSTEM账户修改域用户密码时出现E_ACCESSDENIED权限问题求助

大家好，我遇到一个棘手的权限问题想请教各位：

我有一款软件部署在Active Directory域控制器上，全程以SYSTEM账户运行（也就是NT AUTHORITY\SYSTEM，有时也会显示为对应主机名的$账户，比如BoxX$）。软件核心功能之一是按预设周期修改指定域账户的密码，并把修改结果上报到应用关联的另一台服务器。

目前这款软件在99%以上的客户现场都能正常运行，但有少数客户反馈，执行密码修改操作时会失败，日志里明确报出访问错误，错误码为：0x80070005（E_ACCESSDENIED）。

另外我自己在AWS上创建的所有Windows Server虚拟机环境中，运行这款软件都没有任何问题，完全是“开箱即用”的状态。

为了排查差异，我特意查看了一个正常运行的示例服务器上SYSTEM账户的组归属情况：

• 属于组：CN=Pre-Windows 2000 Compatible Access
• 属于组：CN=Builtin,DC=evotestmsp,DC=local
• 属于组：CN=Cert Publishers,CN=Users,DC=evotestmsp,DC=local
• 主组是：CN=Domain Controllers,CN=...

想请教大家：有没有遇到过类似的情况？哪些可能的配置差异会导致少数客户环境下，域控制器的SYSTEM账户没有足够权限去修改域用户的密码呢？

备注：内容来源于stack exchange，提问作者Joseph Willcoxson