2 DCs und mehrere Gruppen bzw. Abteilungen voneinander unsichtbar machen (DC)

Hallo,
ich habe 2 potentielle DC Server und würde dort gerne eine Domäne "ad.dienstleistung.de" einrichten (als Beispiel)
die DC's sollen vorerst lediglich die User verwalten und GPO's bereitstellen für die TerminalServer und administrativen Zwecken dienen.

Angedacht ist es nun das AD zu unterteilen in z.b. Elektriker, Maler, Fliesenleger, Heizungsbauer...
die User würden sich am terminal mit Dienstleistung\Maler1 oder Dienstleistung\Elektriker3 anmelden (wäre für alle also ok vom namen her)

AAABBER:
wie kann ich dafür garantieren / sorge tragen das die User der Gruppe Elektriker nichts mitbekommen von den Usern der Fliesenleger Gruppe?
Sie sollen sich nicht sehen, nicht ins blaue suchen können oder sonst was... ein Exchange mit GAL etc ist nicht geplant ;)

realisiere ich das über einzelne OU's oder Sub Domänen, oder gibt's dafür beim dcpromo eine gesonderte Option? oder oder oder?
es stehen wie gesagt lediglich 2 DC's zur Verfügung (DC+BDC)

für Input bin ich dankbar