Restricted groups Админ группы рабочих станций

[WebCrush]

Мне нужно было назначить локального администратора (domain user)
клиентской машины через GPO (restricted groups).

Вот что получилось:
1. Создал группу Local Admins
2. Добавил в restricted groups
3. В свойствах security добавил в "members of this group" конкретного пользователя (user),
В "this group is member of" ни чего не добавлял

Получилось что этот пользователь стал админом на всех локальных машинах, на сервере остался с правами пользователя, то что нужно

Интересно что указано - то не было что он администратор в "this group is member of",
Хотя когда группу Local Admins делаешь членом группы Administrators, то user становиться админом везде, это не нужно

Чет не понятно как это работает объясните.

И еще как назначить юзера теперь уже админом
только на разрешенных рабочих станциях так же через GPO?


Да еще домен в смешаном режиме один единственный w2k
Нужно его в native переводить это что - то даст по сказаному выше