Создайте политику в Group Policy Management Console, привяжите ее к OU, где расположены виртуальные машины, которые должны перезагружаться пользователями удаленного рабочего стола.
Далее дайте в этой политике права нужной вам группе (см. картинку).

В контексте прав - нет разницы, это одно и то же security right.
Разница есть между рабочей станцией (Windows 7, XP, etc.), где по умолчанию этот right у интерактивных пользователей и сервером (2003, 2008, etc.), где он только у администраторов. Вот и все =)

Если бы Vladimir599 написал:
"Нужно что бы пользователи которые подключаются по RDP которые не являются администраторами могли перезагружать виртуальную машину по RDP (но не выключать ее) . И как это распространить по AD"
- то прения имели бы смысл.

Но он спросил так:
"Нужно что бы пользователи которые подключаются по RDP которые не являются администраторами могли перезагружать виртуальную машину по RDP. И как это распространить по AD"
- и best practice для этого именно как я описал выше. Почему ему это нужно с учетом того, что сотрудники могут выключить машину вместо рестарт - не наше дело в общем-то, разные бывают задачи.

Если же он спросит, как сделать так, чтобы еще и выключить нельзя было, то ответ м.б. другой:
- не меняйте привилегии в политиках
- через Group Policy Preferences (тоже политикой) раздайте на нужный OU задание Task Sheduler с командой на перезагрузку, дав права на его запуск нужной группе пользователей
- там же раздайте на рабочие столы и меню Пуск ярлык на старт этого задания.

Если в целом интересна тема "как давать пользователям возможность запускать строго определденные задачи и при этом не давать им никаких дополнительных прав", то требуется немного простого кодинга. Пример: Delphi Intraweb standalone application, запускающийся от SYSTEM через планировщик, аутентифицирующий и после успешной аутентификации вываливающий перечень батников, разрешенных пользователям для запуска нажатием кнопки на форме. Думаю, в ветке Delphi такое сделают минут за 30, если будут в хорошем расположении духа. Пользуюсь много лет этим приемом - позволяет, скажем, давать возможность для iisreset или start-stop apppool пользователям с правами Users, которым делегирован один из размещенных на сервере веб-сайтов IIS 7 - да вообще любую задачу, в общем-то.