Permiso en un GPO

Buenas noches amigos, tengo un problema o duda y me gustaría saber si me
pueden orientar.
Tengo un Servidor Windows Server 2003 R2, con un universo de 400
computadoras, requiero instalar en todos los computadores una programa y
darle permisos a grupos de seguridad de modifica en algunas carpetas, el
99%
de los usuarios tiene perfiles de usuario (no pueden instalar nada).
Yo cree un archivo BAT en el cual se adicionan los permisos a las carpetas
e
instala el programa sin intervención de usuario, esta instalación la
genero
por una Política de seguridad en los computadores, diciéndole que ejecute
el
archivo BAT al iniciar el computador, todo funciona bien y se instala ya
que
no es el usuario quien instala sino el computador.
Mi problema o mi duda es, que la instalación del programa y la ejecución
del
archivo BAT se ejecuta en todas las computadoras al reiniciarse, cada ves
que
se reinicia el computador se le aplica la política y se instala los
programa
(Claro esta en la política), pero se pueden imaginar que la reiniciada se
pone muy lenta por la instalación.
Se me ocurrió una idea y quiero saber si se puede hacer y que me oriente
de
cómo hacerlo. Prime creo una grupo en el Active Directory donde estén
todos
los computadores del dominio, y dicha política de instalación se la aplico
a
todo el grupo, luego en el archivo BAT incluyo esta línea “net group
GRUPO_INST %computername% /del /domain”
Esta línea me permitirá que después de que se instale la aplicación en un
computador el computador será retirado, quitado, eliminado del grupo en
donde
se aplican las políticas de instalación.
Como puedo darle a todos los usuario del dominio permisos en ese grupo
global en el Active Directory para que retiren un computador del grupo
global. Quiero aclarar que no se si se puede hacer es una idea y me
gustaría
que me orientaran, y que es importante para la seguridad de la red que
solo
le de permiso en esa grupo solamente? No se como entrar a esa opción de
permisos de grupo.
Gracias.