[exo]

А как сделать так чтоб применялось не к MACHINE а к пользователям? »

Я его применил в Организацинном подразделении нужных пользователей, которых нужно органичить, в нем были и все компьютеры, »

1) создать группу специальую. В неё добавить тех пользователей, которым нужно запрещать.
2) GPO применить на весь домен.
3) В фильтрах указать не "Авторизованные пользователи", а созданную группу.

Таким образом, GPO применится на всех пользователей данной группы, не зависимо от того, в какой OU они находятся.