拒绝在用户自己的OU之外进行资源共享的权限

我对Active Directory相当陌生，这可能是一个简单的事情，但我不确定如何做到这一点。

我在我的AD中有一个名为WI的组织单元，在这个OU中我有两个WI Users和WI Administrators ，我也有一些用户和两个RD会话主机服务器。 其他用户也有其他的用户和计算

以下是我想要做的基本规则：

1. 任何属于WI Users组成员的OU中的任何WI Users都可以作为标准用户远程login到WI OU中的计算机。
2. 任何属于WI Administrators组的成员的任何用户都将成为WI OU计算机上的本地Administrators组的成员。
3. WI OU中的任何用户将不被允许连接到WI OU 之外的任何资源（计算机，打印机，共享等）。

我已经想出了如何使用AD和组策略来执行除了规则3之外的所有事情。 我需要什么样的组策略才能实现第三条规则？

• AD身份validation在本地计算机上失败，但从生产服务器运行
• 用户帐户名称更改后，Exchange 2010权限问题
• 将用户组的权限添加到服务器2008 R2上的所有域configuration文件（漫游configuration文件）
• AD中的软件发布
• 创build计算机帐户的密钥表来解密数据包捕获

目前，我所做的并不是将WI OU中的任何用户添加到域级Remote Desktop Users组，并将WI Users添加到本地 Remote Desktop Users以用于WI OU中的计算机。 但是，我在规则3中写的是我的真正目标，我想拒绝networking共享和打印机访问，但是我不能只将WI用户设置为GPO中的Deny ，因为WI OU的外部人员将成为WI Users组。