Ik stel voor er een beperkte groep ergens in een GPO is die wordt toegepast op OU van het Controlemechanisme van het Domein of de Wortel van het Domein.
Zie deze verbinding voor meer informatie:
http://www.windowsecurity.com/articles/Using-Restricted-Groups.html