[gadkin]

не понравилось мне про "restricted groups" ... запихнул в "default Domain Policy"--> "Computer configuration" --> "scripts (startup/shutdown)" батникчек содержания "%systemroot%\system32\net localgroup administrators domain\local_admin /add" ... а то я раньше добавлял этот батник в "User Configuration" и нифига не срабатывало есесенно, потому что у 50% пользователей не админские права... а ща всё ок