Ограничение доступа к оснасткам MMC с помощью групп с GPO

Я использую Windows Server 2012 R2.

Чего я пытаюсь достичь

Я пытаюсь предоставить определенным пользователям доступ к определенным оснасткам MMC, добавляя их в определенные группы, которые предоставляют им доступ к определенной оснастке.

Я создал объект GPO и связал его в своем Users папка (не по умолчанию).

Этот объект GPO отключил все оснастки, включив:

Restrict users to the explicitly permitted list of snap-ins.

Это прекрасно работает. Сейчас пытаюсь создать несколько групп, например:

• MMC_ADUC_ACCESS -> Должен предоставлять доступ пользователям и компьютерам Active Directory.
• MMC_DHCP_ACCESS -> Должен предоставлять доступ к оснастке DHCP.

Что не так

Итак, я создал группы и создал объект GPO для них обоих соответственно. Но он отказывается перезаписывать тот, который отключает все оснастки. (Все оснастки находятся в настройке «Не настроено»).

Что я пробовал

Я установил область действия объекта для соответствующей группы, в настройках делегирования я настроил ее так, чтобы она применялась только к группе. Ни к чему другому.

Мой вопрос: почему один объект групповой политики не перезаписывает другой?

Я также открыт для любых других предложений, чтобы заставить это работать. Заранее спасибо.