Eu preferiria usar o dcGPOFix da Microsoft:
Eu fiz uma pergunta semelhante a esta semana passada ... agora que estou pronto para seguir em frente, estou apenas executando isso por todos para ter certeza de que não estrague tudo
Eu herdei um novo escritório que, até o último final de semana, quando eu os atualizei, tinha controladores de domínio W2K.
Eles agora são controladores de domínio W2K3.
Eu tentei adicionar um W2k8 DC e tive alguns problemas sérios porque a política do Controlador de Domínio Padrão tinha sido modificada com um modelo de segurança do W2k DC que alterava as permissões de registro e arquivo e estragava vários serviços que o W2k8 confia.
Aqui está minha proposta, apenas olhando para você para me dizer se soa ou não:
Isso parece lógico para você? Parece que funcionaria para mim.