Nun: In den Code des OOO- Service kann man ja leider nicht mehr reinschauen, aber die entsprechende Stelle im OOO- Agent sieht so aus, dass Name1.Hierarchical mit Name2.Hierarchical oder Name1.Common Name2.common direkt verglichen wird. Es gibt kein "Matches", keine Wildcard- Vergleiche, etc... Ich vermute mal, dass der Service genauso implementiert ist wegen der Konsistenz...
Oder im Klartext: Der Vergleich läuft nur auf die komplette Adresse, oder den Common Name Anteil, nach Domäne kannst Du nicht suchen...