[malysh!]

С помощью политики "restricted groups" , привязав их к соответствующим OU - замените на компьютерах в группе "пользователи" членство - оставив только соответствующие группы В итоге, потеряв членство в локальной группе компьютера "пользователи" - пользователь не сможет туда залогиниться »

всё же, можно поподробнее ?
правильно ли я понял, что политика "restricted groups" не "существует как-то отдельно", что её нет в объектах GPO по умолчанию default domain policy и другом default'е, что она есть в любом вновь создаваемом объекте GPO
значит, мне нужно создать новый объект GPO (в той же ветке, на том же уровне что и Default Domain Policy), пустой, все политики не заданы, и только в ветке политики "restricted groups" этого нового GPO (а как вообще restricted groups по-русски? "политики ограниченных групп"?) нужно сделать ЭТО. сделать что ?

Таким образом получаем средство которое управляет возможностью входа на рабочие станции при условии что пользователь входит в группу которой разрешен вход на определенный компьютер. »

то что нужно, но
пункт 3. опять не понял ((