Локальные администраторы

[exo]

есть сеть с ДК на Windows Server 2003
есть много клиентов на XP
захожу в управление каждого клиента, и вижу, что в группе Администраторы есть сами пользователи:
http://exonix.ru/adm.jpg
так не должно быть.
никто сам из админов руками их не добавлял.
как они туда попали?
как с помощью AD удалить из всех компов из Группы Администраторов их учётные записи?
Сейчас в голову приходит GPO, указать там, что в группу локальных администраторов входит такой-то набор пользователей.
Это поможет?
Спасибо.

[Pili]

Я думаю вам поможет статья Using Restricted Groups (http://www.windowsecurity.com/articles/Using-Restricted-Groups.html) и поиск по форуму по ключ. слову Restricted Groups, а также тут (http://www.google.ru/search?complete=1&hl=ru&newwindow=1&client=firefox-a&rls=org.mozilla%3Aru%3Aofficial&q=Restricted+Groups+site%3Amicrosoft.com&btnG=%D0%9F%D0%BE%D0%B8%D1%81%D0%BA&lr=) и тут (http://www.google.ru/search?complete=1&hl=ru&newwindow=1&client=firefox-a&rls=org.mozilla%3Aru%3Aofficial&q=Restricted+Groups+site%3Aoszone.net&btnG=%D0%9F%D0%BE%D0%B8%D1%81%D0%BA&lr=)