настройка Gpo для компьютеров а не для пользоватей которые за ними работают

Мне нужно настроить GPO для компьютеров а не для пользоватей которые за ними работают

но вот проблема с которой я столкнулся

создал я новый GPO в своем домене(он у меня один)
зашел в его Properties/ Security адалил группу Authenticated Users,
затем Add и добавил один компютер USER1 (WinXP) с правами
Read и Apply Group Policy
отлично после пары перезагрузок полика на компьютере применилась

затем я создал группу в Builtin
Group scope - Domain Local
Group type - Security
Group name - Group1
и поместил туда компьютер USER1

затем в моем новом GPO удалил компютер USER1 и добавил
группу Group1 с правами Read и Apply Group Policy
вот здесь меня и ждал сюрприз политика не применяется

я проверял если напрямую добавлять компьютеры то политика применяется,
если добавлять копьютеры в группу а затем группу
добавить к GPO то политика не применяется

В чем причина?

[SinClaus]

Попробуй сам почитать, есть хорошая книга по AD. Я ее на пару дней выложу (_http://ftp.darim.ru/test/Oreilly.Active.Directory.2nd.Edition.eBook-LiB.chm_), потом убью.

SinClaus

хорошая книжка, спасибо уже забрал. Обязательно ее прочитаю

но вопрос у меня очень конкретный
почему к отдельным компютерам политика применяктся
а когда собираешь их в группу то к этой группе не применяется

мне кажется что дело здесь не в только в GPO
на сетевую папку попытался дать доступ целому компьютеру
но не получается, могу давать разрешение только пользователям

как раздавать разрешения компьютерам а не пользователям?

[SinClaus]

Это была security group?

[oldgoat]

NarcomBAT,
По моему, в этом документе http://mail.spb.fio.ru/internet/box/network.pdf есть кое-что по поднятой теме.

Спасибо я уже понял что надо делать
я содал новый Organizatrional Unit переместил туда нужные мне компьютеры из Computers создал новый GPO в Organizatrional Unit и все заработало

т.е до этого я пытался применить GPO ко всему домену при этом ограничивая
право чтения и применения GPO отдельным компьтерам

а сейчас у меня есть отдельный Organizatrional Unit в котором есть GPO
и применяется она только к тем объектам которые внутри Organizatrional Unit

хотя я и сделал что хотел но остается не понятным почему нельзя ограничивать применение GPO на основе групп которые находятся
в Builtin, Users или в Computers ???

[oldgoat]

NarcomBAT:
но остается не понятным почему нельзя ограничивать применение GPO на основе групп которые находятся
в Builtin, Users или в Computers ???

Имхо, на сколько я понимаю, объект групповой политики может быть связан только с контейнером AD, а таковым является организационная единица, но никак не группа.

oldgoat:

да так оно и есть.

[oldgoat]

NarcomBAT
Кстати, на эту же тему:
http://www.certification.ru/library/...nut/index.html
http://www.certification.ru/library/.../big34.html?25