Домен удаленного администрирования

[NordWest]

Как всем компьютерам или пользователям в домене установить разрешение на удаленный рабочий стол. Т.е. не бегать к каждому компьютеру и не ставить на них галочки в соответствующем месте в свойствах компьютера, а сделать это централизованно. Понимаю что это делается как-то через групповые политики. Даже нашел какие-то настройки там, ко как их правильно применить. Вот создам я групповую политику. Допустим найду там параметр который выставит эту галочку, но как применить политику к компьютерам? К папке computers групповые политики не применяются, к users тоже. Создавать контейнер OU - не хотелось бы, темное это для меня дело пока. Так как разумнее поступить? Пожалуйста не отсылайте в поиск - несколько дней лажу, все около, но не то. Должен же быть простой и светлый путь в таких случаях. Спасибо!

[NordWest]

И как вообще правильно настроить (и можно ли) удаленный доступ со следующими условиями:
пользователь либо как-то принимает/отклоняет удаленное подключение, либо ему как-то об этом сообщается.
при удаленном подключении лучше бы чтобы пользователь мог видеть что происходит, но не мог управлять мышью или клавиатурой.
при отключении все возвращалось в норму, т.е. пользователь оставался в сеансе.

Да, домен кстати с контроллером на w2003, машины - XP.