Sim, você pode conceder direitos de desligamento (ou quaisquer outros direitos, na verdade) a qualquer usuário local ou de domínio (ou grupo) modificando a política de segurança local, na seção "Atribuição de direitos de usuário": link ; Você também pode modificar as mesmas configurações usando um GPO. Os direitos de desligamento são distintos dos direitos de logon, portanto, é perfeitamente possível conceder um e negar outro.
No entanto, como você menciona explicitamente usuários que não possuem direitos de logon local, o computador precisará ser um membro do domínio e os usuários precisarão ser usuários do domínio para poder fazer logon em algum lugar mais na rede e executar comandos remotos contra esse sistema específico (como shutdown.exe ).
Isso também se aplica a sistemas operacionais Windows posteriores, não é específico do Windows Server 2003.