Google Chrome GPO / GPM (ADMX) разрешает только темы + установку расширений из белого списка

В домене Windows (AD -> GPM) я играл с Google Chrome ADMX для достижения обоих следующих целей:

1. пользователи могут установить любой шаблон (визуальный, посмотреть)
2. пользователи не могут устанавливать никакие расширения, кроме тех, которые внесены в белый список

У меня не получилось :(

Я могу достичь любого из них по отдельности, но не вместе. Есть подсказки? Большое спасибо!