Хм, сейчас установил консоль управления групповой политикой и там Default Domain Controller Policy все ОК, а в Default Domain Policy - "Разрешать вход в систему через службу терминалов" - Пусто. Судя по gpresult, именно последняя политика влияет на ВМ.
Спасибо, будем исправлять.
