Active Directory - GPOs Como aplicar realmente

[lsciencia]

Senhores,

 

Eu estava organizando o servidor e fiquei com algumas dúvidas sobre como aplicar os GPOs realmente. Eu pensei no seguinte:

 

1. Criar uma OUadm e aplicar um GPOadm (users podem fazer tudo);

2. Dentro dessa OUadm criar um OUuserTypeA (não podem instalar sistemas, por exemplo).

 

A ideia é ir linkando os GPOs às OUs onde a primeira é dos ADMs e ir aplicando restrições conforme a árvore desce ou aplicar diferentes restrições à diferentes tipos de OUs num mesmo nível na árvore.

No entanto, se eu aplicar as restrições as OUs, como eu usaria elas nos Groups ou Users? Porque serão herdadas pelas OUs que vierem abaixo, certo?

 

Bem, minha dúvida é mais ou menos sobre a gerencia dessas Policies.

 

Montei uma imagenzinha para ilustrar o que estou pensando.

Desde já, obrigado pela ajuda dos senhores.