interdire connexion en local des compte de type admin-xxx

[sterua81]

Bonjour à tous.
Nous (mes collègues et moi) sommes en train de mettre en place active directory
dans notre structure. Je ne suis donc pas encore un expert, et j’espère donc ne
pas poser de question trop bête ^^
Je me posais la question : peut-on interdire l’ouverture de session locale de
type admin-xx mais que les utilisateurs puissent tout de même utiliser ce type
de login pour l’installation d’un programme (ex : admin-toto ne peut pas ouvrir
de session, mais, depuis la session toto, si toto veut installer Acrobat Pro, il
peut faire un clic droit sur le .exe, exécuter en tant que admin-toto) ? Si on
peut mettre cela en place, autre question qui en découle, peut-on interdire les
sessions admin-xx mais pas la session infoadm par exemple (au début je pensais
interdire l’ouverture aux session administrateur locaux, mais, premièrement je
ne sais pas comment, deuxièmement, en cas de problème réseau, ou de non
connexion à l’active directory depuis trop longtemps, c’est bien que le service
informatique garde la possibilité d’aller sur une session admin locale…) ?
Je vous remercie pour votre future aide, ou vos futurs conseils :D