Активация Active Directory - ограничение по OU

Я хочу настроить активацию на основе Active Directory в нашем домене. В нашей среде нам необходимо использовать ключи MAK на некоторых машинах, которые могут не видеть сервер AD в течение года или более. Таким образом, мы хотели бы ограничить активацию AD определенными подразделениями или предоставить список подразделений, исключаемых из активации AD.
Я не могу найти какие-либо инструменты для настройки AD Activation. Они существуют? Есть ли способ реализовать такое ограничение?