Вопрос
Почему такие странные имена у групп (pre-Windows 2000) Indeed-ID Server Admins и Indeed-ID User Admins?

Ответ
Так и должно быть. sAMAccountName должен быть уникальным в пределах домена.

Поскольку наше решение позволяет разворачивать несколько инстансов, и в каждом должны быть группы "Indeed-ID *** Admins", то приходится давать им уникальные имена (вернее винда сама их генерит при создании групп если не указано явно). CommonName (cn) же должен быть уникальным только в пределах своего контейнера, что и позволяет находить наши группы по нормальным описательным именам (одинаковым для всех инстансов).