[nokogerra]

нашел время, вернулся к своим баранам:
Вынес машину в отдельный ou, закрыл на ou наследование default domain policy, естественно все осталось как есть (runas ошибка 740, т.к. значения реестра к дефолтным не вернулись), начал тестировать с Контролем учетных записей, результаты всех тестов приводить не буду, вот что касается конкретно запуска оснасток через runas:
1. при установке "все администраторы работают в режиме одобрения администратором" в "отключено" runas работает прекрасно (тут ничего удивительного).
2. включил "все администраторы работают в режиме одобрения администратором", далее экспериментировал с
"поведение запроса на повышение прав для администраторов в режиме одобрения администратором", и runas не работает ни в одном режиме, ни просто из cmd, ни из cmd "от имени администратора" (все та же ошибка 740), к тому же не понятно чем отличается например "запрос согласия" от "запрос согласия на безопасном рабочем столе" - чисто визуально никак, а что такое "безопасный рабочий стол" ясного определения не нашел.

НО решилась проблема с psexec - тут просто волшебство блин, даже когда был отключен "все администраторы работают в режиме одобрения администратором" psexec также выдавал "это не является приложением win" и ниже в терминале после отказа писалось "доступ запрещен", я в замешательстве качаю заново этот же пакет pstools, запускаю из него и о ЧУДО - работает, хотя также работал и этот проблемный нынче psexec.

Другие параметры блока "Контроль учетных записей" как я понял после изучения описаний врядли может относится к этой проблеме, но буду экспериментировать дальше, не хотелось вы отключать uac вообще, к тому же не понятно что все таки блокирует политику uac по отмене запроса на повышение прав при установке приложений (про которую я писал ранее), выше нее только 3 gpo (включая default domain policy) и ни в одном не сконфигурирован UAC.