Politica de cuentas

hola como les va?
les comento tengo un dominio 2000, con OU para cada sector, en cada OU estan
los usuarios y todo eso.
hice una GPO donde le configure el proxy y le puse la GPO a la OU donde
estan las OU de cada sector, o sea a la OU "padre" para mi configuracion.
eso funciona ok.

ahora quiero hacer que los usuarios tengan que cambiar la claves y que se
bloqueen al quinto intento. segun le por ahi eso solo se puede configurar a
nivel del dominio y no de OU. en la GPO vi que te deja configurar esas
reglas pero por lo que lei las toma cada pc para los usuarios locales y no
los del dominio.
lei que eso lo tengo que configurar en la GPO del dominio, o sea con boton
derecho sobre el dominio y editando la GPO Default Domain... ahora yo
configure que se boqueen a los 5 intentos y que cada 30 dias la tengan que
cambiar. tambien le puse un mensaje de bienvenida. cuando reinicio la pc, no
me muestra el mensaje de bienvenida y tampoco le da bola al tema de los 5
intentos. la OU "padre" tiene puesto el tilde de bloquear la politica
superior, segun lei para el tema de la politica de cuentas a eso no le da
bola, pero si muevo la pc y mi usuario fuera de esa OU y la pongo por
ejemplo en la carpeta de Computadoras me toma la politica de los 5 intentos
y me muestra el mensaje de bienvenida.

alguna idea?
saludos
dani.