Azt hiszem, hogy ez lesz a megoldás:
gpedit.msc -vel beállítom amit szeretnék. Ez lesz a helyi csoportházirend és mindenkire érvényes lesz aki bejelentkezik a gépre.
Kivéve azokra akiknek nincs joguk olvasni a C:WINDOWSsystem32GroupPolicy könyvtárat. Mondjuk legyenek ilyenek az adminok.
Lehet, hogy sufni, de nincs jobb ötletem :-)