Resposta fácil: depois de muita pesquisa, parece que não pode ser feito. Usuários padrão não podem criar links físicos no Windows 7.
Estou trabalhando em um domínio do AD com um DC executando o Windows Server 2012 R2 e clientes executando principalmente o Windows 7 Professional.
Preciso conceder a determinados grupos de usuários a permissão para criar links físicos, espero que por meio de mklink /H SINK SOURCE .
Já encontrei um GPO que concede a permissão para criar links flexíveis (ou seja, para executar mklink SINK SOURCE ) - para referência, ele está em Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > User Rights Assignment > Create symbolic links -, mas preciso definir a política equivalente para o disco rígido links.
Uma entrada de registro para atingir o mesmo fim seria igualmente útil - posso definir um GPO para fazer as alterações de registro apropriadas.