Pode haver uma maneira melhor de fazer isso, mas:
- Crie uma conta de administrador dedicada para esse fim
- > Os usuários agora podem clicar com o botão direito e fazer "Executar como" - Aplique a política de grupo para essa conta de administrador para que eles possam apenas executar os processos necessários
Você também pode querer adicionar a conta de administrador para "Negar login localmente" e "Negar login remotamente", para que eles não possam fazer login. No entanto, não sei se isso impede que eles usem o comando "Executar como".