Local Administrator Password Solution (LAPS) で保存されるパスワードの閲覧権限

Windows Server2008 R2にて、Local Administrator Password Solution (LAPS) をセットアップしました。
各クライアントPCのパスワードが、ADのms-Mcs-AdmPwdという属性値に平文で書き込まれるようになりました。
ただし、セキュリティ設定が悪いのか、すべてのAD上のユーザがパスワードを閲覧できてしまうという状態になってしまいました。
初期値では、Domain AdminsとEnterprise Adminsのみが閲覧できると認識していたのですが、設定が間違っているのでしょうか？