[Fanzuga]

1. Как запретить учетным записям админов (кроме встроенного) логиниться (входить локально), но при этом оставить право runas. »

Изменить локальную политику (gpedit.msc): Конфигурация компьютера - Конфигурация Windows - Параметры безопасности - Локальные политики - Назначение прав пользователя - Локальный вход в систему.
Удалить группу Администраторы. Не забыть добавить учетку - Администратор.

2. Как запретить учетным записям админов (кроме встроенного) менять пользователям права. »

Что именно имеется в виду файловые разрешения, или добавление в группы безопасности? Если втрое то с ходу не нашел такого. ИМХО на 80% решается первой задачей. Т. к. остается только одна учетка для интерактивного входа, а менять разрешения через комстроку, не всякий захочет/сможет.