Настройка GPO (конфиг. компьютера) для групп пользователей Active Directory

Разбираюсь с AD. Пробую настроить групповые политики с применением SRP.
Подскажите, как можно включить SRP для машин, на которую логинится пользователь из "группы1", но если на этой же машине логинится пользователь из "группы2" - на него правила распространяться не должны.
Пробовал задавать права на чтение и выполнение "группе1", "группе2" давал запрет на выполнение, "Прошедшие проверку" удалены, "Компьютеры домена" добавлены - но не работает как надо, политика применяется и для "группы1" и для "группы2".