[TrueAlex]

При способе с restricted groups не совсем понятно как тогда на одной конкретной машине добавить дополнительного пользователя в группу локальных админов, ведь получится что он оттуда вылетит как только обновится политика? А если использовать логон-батник как порекомендовал gadkin, то после перемещения компьютера в другой OU, где этого батника нет, пользователь все равно останется в группе Администраторы
Есть ли какой-нибудь нормальный метод решения этой проблемы?