[WindowsNT]

Для этого существуют всё те же Group Policy (сюрприз!). Например, политикой Restricted Groups доменная глобальная группа MyCompany Managers может быть занесена в локальную Remote Desktop Users, надо лишь такую политику создать и пристыковать к контейнеру, в котором содержатся учётные записи всех терминальных серверов.