要在AD集成的DNS中删除DNSlogging，需要什么权限以及在哪里？

我希望能够允许特定的用户从我的Active Directory集成的DNS区域中删除DNSlogging。

一个区域复制到域中的DC上的所有DNS服务器（所以在DomainDnsZones中）。

另一个区域被复制到域中的所有域控制器（因此在CN = System，CN = MicrosoftDNS，DC =域中）。

反向查找区域被复制到森林中的所有DNS服务器（所以在ForestDNSZones中）。

• 允许用户将IP地址从静态更改为DHCP，反之亦然
• 保护活动目录免遭意外编辑
• Windows Server 2016中的计划任务，由非pipe理员用户运行
• .htaccess“允许”和附加语句
• 无法连接到SQL Server（2008）Management Studio中的本地数据库

我已经尝试在All descendant objects上添加Delete DomainDnsZones中的区域和ForestDNSZones中适当的反向查找区域。 例如，在DomainDnsZone上使用Get-Acl显示（对于指定的帐户）：

 ActiveDirectoryRights : Delete AccessControlType : Allow InheritanceFlags : ContainerInherit PropagationFlags : InheritOnly InheritanceType : Descendents 

但是当我尝试使用DNSCMD删除示例logging时，我得到ACCESS DENIED。

为什么不是这么好听呢？ 我还需要做什么？