[BBKa]

Спасибо! Сделал, как посоветовал WindowsNT, всё работает.

А если запустить mmc -> Add/Remove Snap-In -> Group Policy Object Editor -> можно указать целевые группы, сделав политику для не-администраторов.

Только пришлось сделать 2 политики: для не-администраторов - включить запрет использования, для администраторов - отключить. Если для администраторов оставить по умолчанию - Не задано - то, видимо, применяется явно заданная политика Запрещения.

Тему закрываю.