mod_rewrite для получения имени субдомена
Как @Tubs сказал, не пытайтесь нанести вред группе локальных администраторов. Просто не помещайте своих конечных пользователей в ту группу. Продвинутые пользователи дадут им разрешение сделать в значительной степени все, что администратор может сделать, но не изменить конфигурацию в масштабе всей системы. Хотя они действительно имеют, изменяют права на реестр, таким образом, данный время и reg файл, я не вижу там быть никакими настройками, которые они не могли изменить.
Групповая политика может непосредственно управлять членством локальных групп. Я не имею административное средство в наличии в данный момент, но это - что-то как "ограниченные группы". Что Вы указываете, здесь станет полным членством группы, Вы не можете дать групповой политике команду вносить изменения в членство локальной группы, только полностью заменять членство списком, который Вы указываете, поэтому не забудьте быть администраторов домена в группу администраторов.
RewriteEngine on
RewriteCond %{HTTP_HOST} ^(.*)\.example.com [NC]
RewriteRule ^(.*)$ http://example.com/user/%1/$1 [R=301,L]