[HLT]

Deny interactive logon »

Вообще-то проще РАЗРЕШИТЬ логон ТОЛЬКО Domain users, чем ЗАПРЕЩАТЬ куче локальных учеток.
К тому же Deny не получится поставить на локальную группу Users: по умолчанию в ней сидит группу Domain users.

Однако тут возникает одна проблема:
При попытке разрешить локальный логон только доменным пользователям - получаем сообщение об ошибке: "Администраторы (имеется в виду локальная группа администраторов) должны иметь право локального входа".
Подробнее - здесь: http://support.microsoft.com/kb/823659

Поэтому с помощью политик отключаем локальные учетные записи администратора и гостя, а все остальные учетные записи - находим и удаляем (или блокируем), чтобы локально остались только 2 учетки: админ и гость.
Находить и удалять/блокировать можно скриптом, можно руками удаленно (если компов немного).

Для пущей важности через ГП прописываем членство в ЛОКАЛЬНЫХ группах:
в группу "Users" - только группу "Domain users"
в группу "Administrators" - только группу "Domain admins" и BUILTIN\Administrator (он заблокирован, ничего плохого не будет. Зато когда комп потеряет домен и надо будет залогиниться локально - спокойно разблокируем админа, загрузимся под ним, и всё что надо сделаем. Методы разблокировки описаны на форуме не раз, достаточно воспользоваться поиском)

В группу "Power users" руками заносим "особо одаренных" пользователей, персонально на каждом компе.
Или, если нет особых возражений в плане наличия повышенных прав, - через политику помещаем туда все тех же "Domain users".


В итоге получаем:
Все локальные пользователй (в самом лучшем случае их всего 2 - админ и гость) - заблокированы.
Соответственно, залогиниться не получится.
Логиниться могут только доменные пользователи.
Ставить софт, делать всякие другие гадости - могут, являясь членами группы Power users
Однако создать локального пользователя или включить отключенного - не могут, т.к. не администраторы.
Всем нравится, все довольны