Закрыть доступ локальному администратору к файлу через GPO
 

Здравствуйте уважаемые форумчане!

Интересуюсь как можно закрыть доступ к файлу для локального администратора через GPO?
В компании есть ген директор и менеджеры поменьше, которым нужны админские права (хз зачем, гендир так сказал).
На компьютерах установлено ПО слежения.
Необходимо запретить ручками отключать это ПО.
Но при этом оставить доступ для доменных админов.
Не могу понять как это реализовать.

Прошу помощи.

локальный админ может всё.

Теоретически можно создать политику, где в свойствах компьютера для объектов "файл", "реестр" или "служба" задать правило ACL "запретить" для администратора.