Спасибо, сейчас попробую нарисовать подобное для своей тестовой схемы.
Насколько я понимаю, для User_4, входящего в домен с компьютера Comp_3, результирующая политика будет GP_1 для компьютера, политика GP_3 для компьютера, переопределяющая настройки предыдущей политики GP_1, и GP_1 для пользователя. Верно?

Biz© OrlicСпасибо, сейчас попробую нарисовать подобное для своей тестовой схемы.
Насколько я понимаю, для User_4, входящего в домен с компьютера Comp_3, результирующая политика будет GP_1 для компьютера, политика GP_3 для компьютера, переопределяющая настройки предыдущей политики GP_1, и GP_1 для пользователя. Верно?
нет, неверно ... давайте поаккуратнее с терминологией ... на пользователя не влияет политика компутера, пользователь может только попасть в среду, созданную на компутере политикой компутера ...
для наглядности пользуйтесь утилитой gpresult:

gpresult /scope user
gpresult /scope computer
Именно так. Только я пользуюсь не gpresult, а вкладкой Group Policy Results оснастки Group Policy Managment, в которой получаю наглядный HTML отчет о том, какую результирующую политику я получу для данного юзера на данном компьютере.

Собственно, технологию назначения GP я понял так. Групповые политики можно назначать как на OU полностью, на группы пользователей, так и на единичные объекты (пользователи или компьютеры). Создавая одну групповую политику (включающую себя настройки для пользователя и для компьютера), я должен ее "приписать" пользователю / группе пользователей / OU (распространяется на пользователей пользовательская часть GP) и обязательно привязать ее к компьютерам (распространяется компьютерная часть GP), даже если эти компьютеры входят в OU.

Вот выдержки из "Полное руководство Microsoft Windows Server 2003" (Рэнд Моримото, Кентон Гардиньер и другие), SAMS, 2006 г., по которой я и начал изучение AD:
книга касательно OU
... основной причиной создания OU в среде AD является ... делегирование администрирования.
... Для правильного функционирования таких служб, как Group Policies, зависящих от функциональности OU, рекомендуется переместить объекты пользователей и компьютеров из их стандартных контейнеров в структуры OU...

книга касательно групповых политик
... групповые политики можно применять к группам пользователей, что устраняет необходимость создания OU именно для этой цели...
... Групповые политики пожно применять к сайтам, доменам и организационным единицам, но их можно сконфигурировать и для применения к конкретным группам.

Про пользователей я ошибся, признаюсь. Однако в прилагаемом мною рисунке в окне Security Filtering однозначно написано:
Здесь я применяю политику GP_CAPITAL_USERS к OU=CAPITAL, а именно к группе пользователей DG_USERS и двум компьютерам. И группа пользователей GP_USERS, и компьютеры находятся не в их стандартных контейнерах, а в OU=CAPITAL
Guest
Например для работоспособности настроек касающихся WSUS, достаточно задать только в "Конфигурации Компьютера" нужные параметры и применить эту созданную ГП на родительский OU (внутри которого, скажем, будут созданы еще OU, которые в свою очередь будут содержать только "Компьютерные учетные записи"), а все "Пользовательские учетные записи" будут находится в Контейнере USERS и на них будет действовать только Доменная ГП.

Доменную политику по умолчанию "трогать" не рекомендуется. Поэтому я создал политику GP_CAPITAL, в OU=CAPITAL, в ней есть настройки и для компьютера, и для пользователя.