[SkyF]

2. не понял в чем лажа?

вот в этом:

их (копьютеры) надо _тоже_наделять такими же правами, как пользователей на чтение пакетов *.msi

Объекты компьютер вообще не нужно никуда добавлять и где-либо указывать. Значение, используемое по умолчанию в списке безопасности (а именно специальная группа Все (Everyone) - с правами на чтение) - уже и будет включать в себя учетные записи компьютеров, аутентифицироваашихся в домене. Добавлять к ней еще раз их не стоит. поэтому пункт 2 можно не выполнять.

OU - не контейнер?

нет, OU - это Organisational Unit - организационное подразделение (ОП), контейнерами именуются другие объекты в Службе каталогов. Откройте dsa.msc, включите вид табличный *и посмотрите что и как называется. Контейнеры - это Builtin, Computers * и Users.
Мы просто в терминах разошлись, верно? Вы имели в виду турмины дерева, я термины АД. Вот и утрясли.

А теперь связываемк политику с OU, при этом объект, на который мы хотим воздействовать - Компьютер - не находится внутри данного OU. Хотите сказать, что у него будет все OK?

Я уже ответил, читайте внимательнее: 3. *лажа
Объекты крупповой политики не могут применяться у контейнерам, а применяются к организационным подразделениям (, а также доменам и сайтам).
Кроме того ОГП - действует не только на объекты в конкретном ОП, но и на все компьютеры и учетные записи из дочерних ОП, тк ГП наследуется.

Вынести часть пользователей в OU ниже по дереву, или создать две политики по распространению софта?

Сделать 2 объекта групповой политики. Обе политики привязать к родительскому ОП. Далее создать группу и добавить в нее пользователей, которым не нужно ставить часть пакетов. В ОГП, который эти пакеты устанавливает в спискебезопасности добавить эту группу и выбрать Запрет на Применение политики (этой). Для отображения списков безопасности нужно включить в меню активизировать ВИД- дополнительные параметры.


[s]Исправлено: SkyF, 15:44 17-08-2004[/s]