是否可以通过OU限制AD安全组？

Question

假设我有一个这样的AD设置：

我想做的是限制树，这样HR中的安全组只能应用于HR中的用户。

任何试图从“财务”或“管理”向用户（或实际上是另一个安全组）添加HR安全组的尝试都应被拒绝。

我不确定这是否确实可行？