Единственное попробуй сказать, что в твоих локальных полиси - это запрещено! Но это не 100% т.к. если это переопределено на одном из уровней Site/Domain/OU, то твои настройки никого не волнуют! :)
Я в принципе знаю как, но не очень удобный вариант.
То-же через mmc: запрет выполнения консольных программ.
Просто придёться когда надо самому что-то запускать - снова включать разрешение, а потом снова вырубать.
А в серверную не получиться - я же не админ контроллера домена.
