Finalmente quebrou isso - não foi um problema com a configuração, mas com a propagação das configurações revisadas da Diretiva de Grupo para a máquina cliente. As entradas que não estavam funcionando foram as que eu alterei depois que eu entrei pela primeira vez na conta do cliente e acho que meus perfis de roaming às vezes estavam em cache com políticas desatualizadas.
Embora tenha encontrado inúmeras referências ao comando gpupdate /force , isso nunca pareceu ter qualquer efeito para mim. A solução final que funcionou foi excluir os dados do perfil no cliente. Assim que fiz isso, minhas novas configurações de política foram aplicadas.
Também devo compartilhar a técnica para excluir dados de perfil, pois isso me pegou. Eu (erroneamente) assumi que eu poderia simplesmente excluir a pasta do usuário no disco rígido do cliente, mas isso resultou em todos os tipos de erros de conexão estranhos e problemas de perfil temporário em logins subseqüentes. A maneira correta de remover um usuário no Windows 7 é detalhada no artigo da Base de Dados de Conhecimento Microsoft aqui . Note que na maioria das vezes, eu só precisava fazer a primeira parte do processo. Eu acho que você só precisa fazer o segundo passo (edição manual do registro) se você já fez um pouco de um hash dos seus perfis locais!
Há provavelmente uma maneira mais simples de resolver esse problema, mas se a política de grupo não for atualizada diretamente em uma máquina cliente, essa técnica parece funcionar.
Tenha atualizado o título da postagem original para alinhar melhor a questão à solução final.