[Delirium]

Оказывается, надо не просто удалить группу SYSTEM из списка пользователей, а запретить ей доступ. Однако, это придется делать на каждой рабочей станции, что неудобно. Я думаю, можно соответсвующий logon-скрипт написать, да вот только выполняется он с правами пользователя, входящего в домен... »

надо положить скрипт на сервере, дать пользователям право на запуск (не чтение), в нем прописать скрипт, меняющий политику для SYSTEM (через cacls). А чтобы выполнилось под правами админа - достаточно использовать runas в том же скрипте