[divan]

вариант.
добавить учетки тех,кому нужны только права локальных админов в ГПО. Для этого придется перенести все компы в руками созданную OU (например Domain Computers) далее Propetries этого OU, там Group Policy там Edit -> Computer configuration -> Windows Settings -> Security Settings -> Restricted Groups там создать группу по аналогии с BuiltIn группой на машинах ( в зависимости от версии Рус-Анг винды либо Администраторы либо Administrators) и добавить в эту группу (тут же,меню появится после задания имени группы) пользователей, которым нужны локальные админские права. Такие пользователями не будут иметь админских прав на контроллере домена, но будут локальными админами. Политика вступит в силу после пары перезагрузок пользовательских машинок.