[NordWest]

Прочитал. Проникся "Группами с ограниченным членством". Т.е. это было бы ответом, если бы у меня в политиках была указана группа Domain Users в Restricted Groups, но у меня в Default Domain Policy в этих группах нет никого. Пришлось в ручную удалять группу пользователей домена из пользователей компов. Не умею работать головой - пришлось работать руками что называется.

Ага! А вот тогда такой вопрос - как группа Domain Admins попадает в группу администраторов на всех компьютерах домена. Думаю это настраивается там же.