Sim, possível. Achei que não estava funcionando porque tínhamos um grupo do AD AD que falhou. Acontece que este era um grupo de 'distribuição' (atributo?) E precisávamos de um grupo de 'segurança' (ou atributo no grupo de saída) antes que pudéssemos usar o grupo de OU para tarefas de permissão.