Профиль политики KES 11.3.0.773

[LordOfBiysk]

Есть политика EDO распространяемая на N устройств c KES 11.3.0.773 (плагин 11.3.0 стоит), нужно сделать профиль, распространяемый на определенный АРМ, со своими исключениями.
Создан профиль, активация есть, он применяется корректно.
Чтобы исключения работали совместно с основной политикой (дополняли друг друга, а не заменяли) сделаны следующие настройки:
В общей политике Общие параметры\Исключения добавлена галочка "Объединять значения при наследовании".
В профиле политики сделана аналогичная настройка.

Все работает, но смущает опция "замка" на настройке - в общей политике редактирование запрещено, включено форсирование на дочерние, а в профиле по умолчанию разрешено.

Насколько корректно настроены сейчас исключения? Требуются ли какие-то обязательные шаги еще?

И верно ли понимаю, что если остальные разделы профиля не изменяются, то их не нужно править, даже если показывает отличия от основной политики (например в основной включен контроль программ, а в профиле отключен)?

[oit]

Я этот функционал ещё не использовал, поэтому не очень понимаю как он работает в конкретных случаях.