[nokogerra]

суть в том, что чтобы что-то запустить от имени пользователя, у него должно быть право логона. Пример: создал групповую политику, которая рядового доменного пользователя сделала членом группы локальных администраторов для машин в определенном OU. Все отлично, он администратор, но имеет право входа только на одну рабочую станцию (скажем свою), он не сможет установить/удалить программы, или выполнить вообще какие-либо действия на остальных машинах (введя свои логин и пароль при запросе на повышение прав), несмотря на то, что он администратор.