Las GPOs para que surtan efecto se deben enlazar únicamente a Sitios, Dominios o Unidades Organizativas; no se pueden enlazar a grupos
Seguramente te servirá esta nota para aclarar un poco, que aunque ya tiene bastante tiempo explica conceptualmente el tema
Cómo Funcionan las Directivas de Grupo (GPOs) | WindowServer:
https://windowserver.wordpress.com/2011/02/10/como-funcionan-las-directivas-de-grupo-gpos/
https://windowserver.wordpress.com/2011/02/10/como-funcionan-las-directivas-de-grupo-gpos/
Referente al tema, todo lo que son directivas de cuentas (Contraseñas, Bloqueo, y Kerberos) valen solamente, y se aplican únicamente a nivel de Dominio, específicamente en la "Default Domain Policy". Cualquier otra GPO con configuraciones de cuenta enlazada a una OU tiene efecto solamente sobre las cuentas locales de las máquinas que afecte
A partir de W2008, se pueden tener diferentes directivas de cuentas en el Dominio, pero el proceso para lograrlo es diferente.
