ограничение прав доступа на установку программ

Мне нужно создать группу с именем groupname, создать пользователя username. Включить пользователя в группу groupname. Все это делать с помощью Active Directory. Только для данной группы разрешить установку программ. В системе еще есть пользователь Nano и администратор. Группу и пользователя я создавал с помощью «active directory – компьютеры и пользователи».
Как я понял для группы нужно применять административные шаблоны. Но как их применить именно для определенной группы с именем groupname, а всем остальным запретить установку программ? Я пытаюсь это сделать с помощью редактора объектов групповой политики, но там можно добавлять только объекты типа компьютеры. Я в «active directory – компьютеры и пользователи» компьютер, подключал к нему пользователя и пытался. В «редакторе объектов групповой политики» пытался подключить данный компьютер подключить, но мне пишет что «не удалось подключить объект групповой политики на «имя компьютера». Возможно, вы имеете не достаточно прав. Сведенья: Не найден сетевой путь». Что я делаю не так? Я делаю все с помощью vwmare. Подскажите, пожалуйста, как реализовать что я делаю не так или где можно почитать о реализации подобной задачи.

Групповые политики применяются к группам или организационным единицам(group or organization unit(OU)). Членом группы или ОУ может быть как учетная запись пользователя так и учетка компьютера.

Итого: учетки Nano и Администратор должны быть в группе к которой применена политика "Запрет установки программ"

к группе groupname эта политика не должна применяться.