[GreenIce]

Создаете группу в которую включаете всех администраторов (я же правильно понял, что используется не встроенная запись). Создаете политику, привязанную к контейнеру с пользователями, в свойствах которой, в разделе безопасность, указываете, что она применяется только для созданной группы администраторов.
В порядке применения групп (свойства контейнера) ставите ей более высокий приоритет (поднимаете вверх)
Далее в общей политике контейнера для всех пользователей запрещаете вкладки, а в политики для администраторов разрешаете вкладки.