GPO: Запретить вход (и регистрацию) в домен всех ПК (не серверов), кроме имен из нужного списка

Есть AD домен в организации (мелкий, до 100 юзверей). Как запретить ввод в домен ПК ниже определенной версии W10?

Ок. Определен список в GPO, кто может "УЗ АДМ" вводить в домен. Теперь как запретить ввод в домен ПК, версия w10 ниже нужной (старая)? Пробовал через Gpo\Wmi фильтры - но там явного запрета нет. Есть список ПК, кому можно, остальных на.. Можно это как-то все все вместе срастить? Чтобы если ПК из списка вводится - то отказ в регистрации в новом домене?