Standardmäßig ist der Container für Sicherheitsgruppen, Benutzerkonten und Computerkonten in neuen und aktualisierten Installationen von Windows 2000 und Windows Server 2003 “CN=Users” und “CN=Computers”. Sie können Gruppenrichtlinieneinstellungen nicht auf Container der CN-Klasse anwenden. Deshalb müssen Administratoren, die Richtlinieneinstellungen so festlegen möchten, dass die Benutzer und Computer in ihrem Standardcontainer gespeichert
werden, dies im Stamm der Domäne tun. Um zu verhindern, dass Richtlinieneinstellungen, die auf einem übergeordneten Container (dem Stamm der Domäne) festgelegt werden, auf Benutzer und Computer in untergeordneten CN- und Organisationseinheit-Containern angewendet werden, müssen Administratoren komplexe Zugriffssteuerunglisten (Access Control Lists, ACLs) für die Richtlinieneinstellung im Stamm der Domäne definieren.

Link : [1] http://support.microsoft.com/kb/324949