Anwender auf bestimmte Terminalserver einschränken

Hallo.

Wir haben hier in einer kombinierten Windows / Netwareumgebung drei Terminalserver im Einsatz. Zwei davon arbeiten als XenApp-Server. Die dritte Maschine habe ich heute ins Active Directory gebracht (Nur normaler TS ohne Citrix-Produkte). Meldet sich nun ein normaler User an, bekommt er auch die Einstellungen für XenApp-Anwendungen mit. Diese Links funktionieren allerdings nicht, da eine pnagent.exe fehlt.
Gibt es eine Möglichkeit, Policies so zu gestalten, das die User nur Xenapp auf den entsprechenden Rechnern ausführen können? Den normalen Server wollte ich mit den darauf installierten Anwendungen weiterhin so einsetzen, wie er eingerichtet worden ist.
Wir haben hier eine OU für Citrix Sicherheitsgruppen, XenApp, XenDesktop und Provisioning.
Die Xenappserver sind in der OU Xanapp, der Terminalserver liegt momentan unter Computers.

Vielen Dank im voraus für Eure Antworten.

Mit freundlichen Grüßen

Dirk Emmermacher