[Ivan Bardeen]

пользователи могут быть во вложенных OU. »

Где угодно внутри иерархии объекта, к которому применяется политика. Только главное чтобы на ниже лежащих OU не была применена "блокировка наследования" http://technet.microsoft.com/ru-ru/l...50(WS.10).aspx