BuildIN und GPOs, einfach ein Denkfehler?

[Ammador]

Hallo NG,

mal sehen ob hier 2 Fragen beantwortet werden können.

Ich habe eine Domäne, die hat einige OUs die Standortbezogen sind. z.B. die Domäne heisst BRD eine OU darin ist Hannover und eine Berlin

Meine Admins aus Hannover sollen nicht in BRD Richtlinien rankommen. Der Admin aus Hannover auch nicht aus die aus Berlin.
Ich denke das geht zu realisieren von "Verwaltet von..."

1.) Ich will einen Sicherungs-Operator einsetzen, der soll aber nur in Hannover sichern können, wie realisiere ich das mit der Gruppe aus BuildIN?

2.) Es sollen nur die Leute sich aus den OUs anmelden können wo sie auch beheimmatet sind. Soll heissen, der User aus der OU Hannover soll sich auch nur dort anmelden können.

Habe ich ein Denkfehler? aber die OU ist nur zum Ketten von Richtlinien und als Verwaltungsgruppen zu sehen, das hat mit den Zugriffen an sich nichts zu tun?

Bitte bring mal einer Licht ins Dunkel.

Danke