[mcmurphy]

Да, похоже вы правы, что-то переклинило меня...
А если такой вариант: подлинковать политику в целом к домену, но с фильтром безопасности, чтобы применялась к заданной доменной группе. А всех нужных юзеров включить в эту группу?
Как такое с точки зрения производительности?
С loopback не работал, как вариант можно поизучать...