限制電腦僅讓指定的AD使用者登入

小弟在客戶那遇到一個需求

客戶網域裡有些client屬於service server
他們希望僅開放給某群組裡的使用者登入
我想來想去只有GPO裡的"限制本機登入"比較適合

我的想法是
新增一個群組並設定在"限制本機登入"
該群組裡的成員是"指定的AD使用者"之外的的全部AD使用者
再將GPO套用到指定的電腦(套用到整個網域，於"安全性篩選"裡加入指定的電腦)

但是這樣有個後續的管理麻煩
日後客戶新增了AD使用者的時候，必須再將帳號加到限制的群組裡

有沒有前輩也在客戶端遇到相同的需求呢??