Instalación de aplicaciones en AD

[LeOnHe4Rt]

Tengo otra duda en AD, pero si me ayudais por aquí no abro otro hilo.

He asignado un GPO a una unidad organizativa con un usuario. Aparte tengo otro usuario fuera de esa OU. En el manual de AD me pone que para excluir aun usuario de una GPO basta con eliminarle el permiso de lectura a la GPO. Pero en la ficha de seguridad de la GPO no me aparece el usuario de la unidad organizativa en la que esta aplicada la GPO.
Si añado los usuarios a esa pestaña de seguridad de la GPO, tanto si pertenecen a la unidad organizativa como si no, me aparecen con permiso de lectura. ¿Es eso normal que un usuario fuera de la OU tenga permisos de lectura sobre la GPO? ¿Si desmarco la lectura a un usuario de la unidad organizativa en la ficha de seguridad de la GPO se deja de aplicar para ese usuario?. Gracias, espero que se me haya entendido. Cualquier duda preguntar y aclaro mas.