ograniczanie logowania na kompach w domenie

Witam!

Załózmy że jest AD na w2k3, są kontenery wydziałów (OU),
są grupy do których należą ludziska,
zarówno kompy i ludziska są w tych kontenerach i teraz:

jakie jest eleganckie zalecane rozwiązanie ograniczenia możliwości
logowania na pecetach tychże ludzi w taki sposób aby nie mogli
zalogować się na kompach w innym niż przynależny im wydział?
bo nie chcę zbytnio kombinować i odkrywać koła na nowo
a mam potrzebę zablokowania wędrówek ludzi po pecetach pozawydziałowych.

Odpada wpisywanie każdemu kompa na którym się może logować bo
ilość kompów i ludzi jest zbyt duża - samych migracji też.

Chciałbym mieć takie "cuś" co patrzy w jakiej grupie bądź OU
jest ludź i jeśli pecet jest w tym samym OU to wpuść jak
nie to wywrzeszcz idź stąd ;)

Skrypciarnia logowania? Czy jakieś lepsze rozwiązanie?

-- 
.---------- --------  ------ ----  ---- --- - -- -
| Bartek `saphire` Siebab http://bartek.siebab.net