Централизованное применение правила GPO к локальным администраторам

Простите, если кто-то просил раньше - пробовал поискать, может, пропустил.

В любом случае, я должен

1a) Установите для домена политику запретить доступ к этому компьютеру из сети. 1b) Поместите локального «администратора» каждого компьютера в эту политику.

Где я в тупике, так это то, что в Контроллер домена >> Управление групповой политикой, при изменении политик на этапе «Выберите пользователей и компьютеры» отображаются только пользователи домена. Также нельзя изменить область видимости - это позволяет искать только локальный DC, весь домен или лес.

Я провел некоторое исследование по ограниченным пользователям, уверен, что могу использовать этот инструмент для перезаписи членства в группах пользователей, но это все, я не могу автоматизировать добавление / централизованное управление локальным администратором каждого ПК в политику запрета входа в систему.

Я ценю любые идеи или альтернативные предложения по этому вопросу. Возможно, придется объяснить руководству или даже тщательно изучить липкий способ просто сделать это по умолчанию для новых компьютеров.