Na Política de Grupo, vá para Configuração do Computador - > Políticas - > Configurações do Windows - > Configurações de segurança - > Políticas locais - > Opções de segurança
Existe uma configuração denominada "Desligar: permitir que o sistema seja desligado sem ter que fazer logon" Defina como "Desativado"
Dessa forma, ninguém pode desligá-lo, a menos que faça o logon primeiro, mas até lá eles são cobertos pela política de grupo que remove a opção de desligamento.