Jerarquía de permisos en Active Directory ¿cual es el mas restrictivo?

Si un usuario está añadido al grupo de Administrador de VCenter (con permisos totales, se entiende), pero a su vez de se le añade a un grupo de usuarios de VCenter Read Only. ¿Es el permiso de ReadOnly el que prevalece , es decir el mas restrictivo?

Entiendo que funcionaria el mas restrictivo, pero lo pregunto por tener la certeza absoluta.