Проблема с настройкой политик в AD

[PAD]

Ситуация такая.
Есть USB брелки (назыв ruToken). Они нужны для входа юзеров в вин(в основном Win2k). Юзер втыкает ruToken(каждый привязан к определенному юзеру), вводит пин, профиль грузится. Потом, как юзер хочет отойти от компа, выдергивает ruToken и комп ДОЛЖЕН блокироваться. Но не блокируется.
Как настраивал AD (Win 2003 sp1).
Создал OU(organization unit), перенес туда нужных юзеров. В свойствах OU добавил групповую политику. В этой групповой политике, в параметрах безопасности есть параметр interactive logon: Smart card removal behavior. Задаю значение: Lock Workstation. В групповой политике домена у этого параметра значение не определено.
Проблема вот в чем. ruToken втыкаем, вводим пин, заходим. Выдергиваем ruToken нифига не происходит.
Запускаю мастер результирующей политики, анализирую политики для всего домена. Пишет что этот параметр не определен(т.е. как в политике домена). Анализирую политики для OU, ругается на параметр interactive logon: Smart card removal behavior. Пишет что "GPO, расположенные выше имеют более высокий приоритет"
В OU ставлю галку "не перекрывать". Анализирую политики для домена. Параметр принимает знаечение Lock Workstation. Но даж при таком раскладе комп не реагирут на выдергивание ruToken.
А если этому праметру задать значение Lock Workstation в политиках домена, то все норм работает.
Как сделать чтоб при выдергивании ruToken комп лочился, но только для определенных юзеров?