Настройте сервер SMTP для добавления глобальной подписи ко всем электронным письмам от Google Apps for Business

Можно присвоить полномочия Удаленного рабочего стола отдельно Административным привилегиям, и Администраторы не получают право по умолчанию так, чтобы основной подход работал. Необходимо будет удостовериться, что соответствующий администратор считает, и группы не являются членами Группы администраторов Удаленного рабочего стола в рассматриваемых системах.

Однако любой с полными административными привилегиями в системе может изменить те настройки, если они хотят. Можно осуществить настройки через GPO для включения (и предел) этого, но полностью предотвращение кого-то, у кого есть права Администратора, обходящие политику как это, не совсем возможно, Вы просто мешаете с GPO.

Я не думаю, что это - Ваша проблема здесь все же. Необходимо смочь создать эту учетную запись, таким образом, что это - локальный администратор на серверах, которыми это должно быть, всего лишь не доменный широкий администратор, просто создайте нормальную учетную запись домена и добавьте, что непосредственно только к серверам, которые абсолютно требуются. Это будет работать хорошо над Windows 2003, но изменения в модели обеспечения безопасности (из-за контроля учётных записей) в Windows 2008 делают его менее простым.

Если учетная запись так открыта для злоупотребления, как Вы описываете это, могла бы также быть хорошая идея отклонить его право войти в систему где-либо еще. При помещении серверов, Вы хотите, чтобы эта учетная запись работала в в одном OU в Active Directory и затем изменила пользовательское присвоение Прав GPU для всего другого OU's машины Ваш домен для отклонения той учетной записи право войти в систему локально и удаленно.

То, что у Вас есть процесс, который требует прав администратора, является фундаментальной проблемой - необходимо сфокусироваться на попытке устранить то требование, хотя я ценю, что существуют случаи, где это не возможно, это должна всегда быть первая вещь, на которую Вы смотрите.