[PolarBear]

Спасибо за совет. По поводу ограничения все ясно.
Разошлись мы в терминах.  Действительно "Контейнер" в AD и в NDS  - понятия разные, и один OU на другой OU не совсем похож
Но вопрос остался.

Объекты крупповой политики не могут применяться у контейнерам, а применяются к организационным подразделениям (, а также доменам и сайтам).

С доменами и сайтами мне все понятно - они накрывают структуру и учетные записи дочерних OU.
Вопрос в следующем.
В домене есть OU например "отдел"
в этом OU размещаются учетные записи пользователей.
учетные записи компьютеров, присоединенных к домену хранятся в контейнере (тут вроде термин правильный) "Computers"
Пользователи из OU "Отдел" при входе в сеть регистрируются физически с этих компьютеров.
Если я свяжу политику с OU "Отдел" и в ней применю административные шаблоны к ветке "Конфигурация компьютера" в описанном примере все сработает?
Мне кажется, что нет.
Если ошибаюсь - поправьте, pls.