Eu tenho um grupo de usuários que estou configurando como usuários de teste. Eu quero fazer com que ninguém possa fazer login no domínio com essas contas, mas elas precisam ter caixas de correio de troca ativas, já que é isso que estou testando. Eu coloquei todos os usuários de teste no mesmo grupo. Posso definir uma política de segurança que fará isso?
Você não pode desativar usuários / grupos de login local. O que você pode fazer é remover o grupo "Usuários" do privilégio "login local" e depois adicionar o restante das pessoas.
As configurações estão na Diretiva de Grupo, Configurações da Máquina, Configurações de Segurança, Diretivas Locais, Direitos do Usuário, Fazer Logon Localmente. Tenha muito cuidado para não bloquear todos de tudo (ou seja, aplicar isso a uma UO (ou restringi-la a um grupo) de apenas um computador, depois testar.
Existem muitas maneiras de esfolar esse gato. Basicamente, você pode usar a política de grupo para configurar a estação de trabalho "Log on local" configuração, que controla quem pode fazer logon interativamente em uma máquina Windows, você pode definir as contas "fazer logon", você poderia, mas esses usuários em um gropu e em seguida, aplique um locon deny localmente.
Negar logon localmente
Configuração do Computador \ Configurações do Windows \ Configurações de Segurança \ Políticas Locais \ Atribuição de Direitos do Usuário
Existem configurações análogas para serviços de terminal também.