valides, on peut décider de mettre en oeuvre le paramètre Désactiver les changements de certificats. L’option Pas de substitution, qui s’applique à  tout le GPO, empêche tout container enfant de se substituer à  la stratégie. Il faut donc placer toutes les stratégies d’entreprise, non négociables, dans un seul GPO et activer l’option Pas de substitution. Les autres stratégies, qui peuvent changer en fonction de l’UO, peuvent être regroupées dans un autre GPO dont l’option Pas de substitution est désactivée. Il peut arriver qu’une UO ait besoin de stratégies différentes – lorsque les stratégies de l’entreprise ne peuvent s’appliquer. Par exemple, on peut autoriser la majorité des utilisateurs d’une entreprise à  adopter un comportement relativement relax, mais opter pour des stratégies plus rigoureuses pour la comptabilité ou les ressources humaines. L’UO des comptables peut activer la fonction de blocage de l’héritage. Ainsi, les comptables peuvent définir leurs propres stratégies et éviter d’hériter des stratégies de leur domaine parent ou de l’UO. L’option de non substitution est prioritaire sur le blocage d’héritage, ce qui fait qu’un administrateur situé plus bas dans la hiérarchie peut bloquer les stratégies de l’entreprise.