Lio mental con las directivas de grupo, usuarios, etc...

Vamos a ver. Tengo un servidor para una dominio en una red local, ej..
pepito.local. He creado unos usuarios y unos equipos en AD para logear con
el server en el grupo "Usuarios del dominio". Hasta ahí todo bien. Ahora
quiero que algunos no puedan hacer determinadas cosas. Para ello en
"Usuarios y Equipos del AD" en Propiedades de pepito.local hago una
directiva de grupo le pongo un nombre ej. prueba y modifico lo que de mé
la gana. Bien. Ahora: ¿como se la aplica a determinados usuarios, no a
todos ? Creo una OU. La creo pero no me deja añadir los usuarios q tengo,
los tengo q borrar del grupo de usuarios del dominio y agregarlos a la OU
pero cuando logean con la maquina server no se aplican las directivas.Es
que tengo un cacao mental... Plis ayuda.