[TheRealDeadOne]

У меня в одном OU могут быть и юзера к которым нужно применять DenyApp1Run и юзера с DenyAppsForGroup1. Чёрт с ней, пусть побеждает, но почему она игнорирует исключения прописанные в этом же GPO? При просмотре результирующей политики они видны кстати.

И если побеждает GPO запрещающая, то почему в инструкции MS пишут, что при определении одного и того же параметра в двух разных GPO, конкурирующих в одной OU, побеждает та, у которой выставлен приоритет выше? Фига, я могу DenyApp1Run выставить хоть на первое место, ситуация от этого не изменится.