AD Serwer2000, klient Vista Business

Witam!

Założenie jest następujące: stoi sobie serwer z domeną AD na win2000.
Klienci pracują na systemach Vista Business. Użytkowników podzieliłem na
dwie proste grupy: z ograniczeniami, i bez. Teraz tak: wrzuciłem tych
użytkowników do dwóch kontenerów i próbuję tym z pierwszego nadać
ograniczenia przez zasady grup.
Chciałbym, żeby użytkownicy dajmy na to grupy A mieli na kliencie
uprawnienia administratora, natomiast z grupy B mieliby mieć uprawnienia
  zwykłego usera z dodatkowymi restrykcjami (blokada pulpitu,
zablokowanie cmd, dostęp do dysku z obrazem partycji systemowej itp.).
Coś chyba źle robię, bo: zdefiniowałem sobie dla kontenera z
użytkownikami nową zasadę, poustawiałem, i... dupa. User na którego się
loguję nie widzi tych założeń. Co robię źle? A może Vista nie rozumie
GPO z win2000 ? Dziedziczenie z nadrzędnego gdzie nie mam nic?

-- 
Pozdrawiam, Krzysztof