Ca dépend de l'OS, mais avec quelque chose de récent (Windows 7 par exemple) il est entièrement paramétrable par GPO par exemple.
Pour un environnement MS c'est très adaptée car toutes les règles correspondantes sont prédéfinies, sinon il faut mettre les mains dans le cambouis.
C'est une très bonne solution pour protéger postes de travail et serveurs en domaine, mais pas forcément mieux que des solutions de sécurité pro. Tout dépend de tes exigences, budget, organisation de ta boîte.