Ograniczenia na aplikacje w GPO

Witam.
Jest domena AD, jeden DC (Win2003).
Chcialbym ustawic ograniczenia na uruchamiane w domenie aplikacje.
Ustawilem polise na OU, w niej ograniczenia na aplikacje (default
security level: disallowed i aplikacje, ktore maja byc zezwolone na
uruchamianie w additional rules na unrestricted regula hashowania).
Jednakze nie bardzo chce to dzialac: zadne aplikacje uruchamiane z menu
start (nawet te dozwolne) nie uruchamiaja sie, natomiast kiedy przejdzie
sie do folderu (np. eksplorerem), to daja sie odpalic dwuklikiem na plik
  exe (dotyczy tez tych, ktore mialy byc zablokowane).
Co robie zle ?
A moze tak nie da sie ustawic ?

-- 
The beginner SM42 fan.