Ich vorschlage ch, dass es eine eingeschränkte Gruppe irgendwo in einem GPO gibt, das am Gebiets-Steuerpult OU oder an der Gebiets-Wurzel angewendet.
Diese Verbindung zu mehr Information sehen:
http://www.windowsecurity.com/articles/Using-Restricted-Groups.html