[U-russia]

В вашем случае может быть помогут фильтры... »

а всётаки через GP тоже можно...
как уже предлагалось выше можно создать группу безопасности и задать применение GP только для неё, но фильтры "тоньше"
http://technet.microsoft.com/ru-ru/l...8WS.10%29.aspx

GP применяется только если запрос возвращает true
Допустим если во вкладке gpmc создать wmi фильтр для пространства имен Root\CimV2 содержащий запрос Select * from Win32_OperatingSystem where Caption = "Microsoft Windows XP Professional"
то политика, к которой привязать данный фильтр, примениться только к компьютерам под управлением соответствующей ОС.
Вы даже можете применять разные политики к серверам находящимся в разных часовых поясах, или в зависимости от того какой у них монитор : ) такого не достигнешь используя только группы..

за экзотическими и не очень классами wmi сюда http://msdn.microsoft.com/en-us/libr...8VS.85%29.aspx

Так что может ваше разделение на OU по территориальному признаку и правельнее....
а вот автоодобрение не очень, а то подхватите какой нибудь свежий IE...

ps
Вот это запрос может пригодиться для отката специфического обновления
Root\cimv2 ; Select * from Win32_QuickFixEngineering where HotFixID = 'q147222'
выбирает компьютеры с установленным q147222
вот только надо ещё политику отката правильно сконфигурировать...