как запретить учетную записи локальный и сетевой вход в систему , но разрешить запуск

[koyra]

как запретить учетную записи локальный и сетевой вход в систему , но разрешить запускать от ее имени приложения?
Запрет на локальный вход, в групповых политиках , запрещает использовать
runas /user:vasya cmd

[HLT]

сетевой доступ запретить политикой

локальный доступ разрешить
в логон-скрипт аккаунта повесить команду завершения сессии
rundll32 shell32,SHExitWindowsEx 0

на runas это не отразится