Você pode usar as Preferências da Política de Grupo para segmentar o estado compatível do usuário no logon.
ie. Se os usuários forem "DOMAIN \ UserInQuestion" e forem membros de "Remote Access AD Group", inicie "Citrix Desktop Service" ou um script que o desconecte.