Abra secpol.msc
no menu Executar para abrir a "Política de segurança local" e navegue até Security Settings -> Local Policies -> User Rights Assignment
. Nessa subpasta, localize a opção Shut down the system
e adicione o grupo denominado Console Logon
à lista e remova os outros grupos da lista.
Isso terá o efeito de permitir que apenas pessoas que possam fazer logon fisicamente na sessão de console possam desligar o computador.