GPO + WMI = фильтрация группы
 

Подскажите, как можно исключить из GPO WMI-фильтром не пользователя (пользователя просто Select * FROM Win32_UserAccount WHERE Name = "Spooner"), а группу?
Win32 класса, дающего true или false при наличии соответствующей группы я не нашел :(
Разродилась вот такая конструкция: select * from Win32_GroupUser where GroupComponent="Win32_Group.Domain='DOMAIN',Name='UserGroup'", но она, разумеется, не отрабатывает в WMI фильтре GPO.