GPO применение ко всему домену кроме группы
 

Есть у нас одна политика, которую нужно применять ко всем кроме нескольких человек, для которых создана отдельная группа безопасности (именно группа, раскиданы они по разным OU - так получилось).
Теперь возник вопрос: а как собственно это сделать? Вариант добавить всех кроме этих людей в группу и применить к ней политику просьба не предлагать - слишком много человеков.

Сам разобрался.
GPO - %нужная политика% - Delegation - Advanced
Добавляется нужная группа и в пермишнсах выставляется "Apply group policy" - Deny