Почему пользователя просят выбрать свою рабочую группу?

Мы работаем с Mac OS X Server 10.5.8 с клиентами Mac OS X 10.5.8. Студенты используют сетевые логины для входа в систему.

Меня попросили запретить доступ в Интернет определенному пользователю. Мне сказали, что хороший способ сделать это - создать пользовательскую рабочую группу под названием "Нет доступа к Интернету" и управлять там настройками. (В частности, я сказал родительскому контролю разрешить доступ ни к каким сайтам и внес в черный список все установленные веб-браузеры).

Теперь, когда пользователь аутентифицируется для входа в систему, он встречает это диалоговое окно:

Workgroups for <username>

Grade 7 Students
No Internet Access

Маловероятно, что студент захочет выбрать "Нет доступа в Интернет" в качестве своей основной группы.

Глядя в Диспетчер рабочих групп на запись ученика, он показывает, что их основной группой является группа 7-го класса, а "Нет доступа к Интернету" указан как другая группа, к которой он принадлежит.

Я посмотрел на управляемые настройки для всех компьютеров, относящихся к логинам. Они установлены по умолчанию. В частности, предпочтение для групп компьютеров для входа в систему -> Доступ имеет значения по умолчанию:

• [не проверено] Игнорировать вложение рабочей группы
• [проверено] Объединить доступные настройки рабочей группы

Исходя из того, что я прочитал "Советы и рекомендации для администраторов Mac", это должно быть правильно, пользователя не должны спрашивать, к какой группе он принадлежит, и должны применяться настройки всех применимых групп. Как я могу достичь этого результата?

Изменить: я решил добавить дополнительную информацию из документа " Советы и рекомендации по управлению Mac" (через Apple in Education, через сайт автора).

На странице 21 написано:

В Leopard MCX настройки предпочтений рабочих групп по умолчанию объединяются в единый набор значений. Это означает, что вместо того, чтобы выбирать между рабочими группами по математике, естественным наукам или языковым искусствам при входе в систему, пользователь может просто пройти проверку подлинности и перейти прямо на рабочий стол. Все настройки для каждой из этих рабочих групп составлены вместе, предоставляя вам все элементы Dock и совокупность всех других настроек.

На странице 40 приведен пример, в котором настройки объединяются из разных "доменов", одной группы компьютеров, двух (пользовательских) рабочих групп и настроек одного отдельного пользователя.

[Когда johnd входит в леопардовый клиент,] элементы, расположенные в Dock слева направо: группа компьютеров, алфавит первой рабочей группы, вторая рабочая группа, пользователь. Элементы в рабочей группе расположены в алфавитном порядке.

Нигде нет признаков того, что группы являются вложенными; действительно, я не вижу никакой разумной (не плоской) иерархии для таких групп, как математика, естествознание и словесность.

Я твердо верю, что есть способ применить настройки из двух несвязанных рабочих групп пользователей, так что пользователю OS X 10.5.x или новее не нужно выбирать свою рабочую группу. Это то, чего я стремлюсь достичь.