下面我哪里做错了？
我们有一台运行 Server 2008 R2 的服务器，用户通过远程桌面连接该服务器来运行 CRM 应用程序。
该服务器安装了 SQL Server 2012 以及 Management Studio。
域管理员组中的用户需要访问管理工作室。非管理员用户甚至不能打开 SQL 管理工作室。
我在域控制器上创建了一个 OU，该服务器 (TSERVER) 是该唯一对象。在这个 OU 中，我创建了一个组策略，其中 ssms.exe 位于不允许的应用程序列表中。
在委派中，我已将经过身份验证的用户设置为应用组策略，而对于域管理员组，我已拒绝应用组策略。
即使gpupdate /force以 TSERVER 上的管理员身份运行后，该策略仍然不适用，用户仍然可以打开 SQL Management Studio。
我很确定这是我没有应用的基本设置。