как запретить учетную записи локальный и сетевой вход в систему , но разрешить запуск
 

как запретить учетную записи локальный и сетевой вход в систему , но разрешить запускать от ее имени приложения?
Запрет на локальный вход, в групповых политиках , запрещает использовать
runas /user:vasya cmd

сетевой доступ запретить политикой

локальный доступ разрешить
в логон-скрипт аккаунта повесить команду завершения сессии
rundll32 shell32,SHExitWindowsEx 0

на runas это не отразится