Cita:
Iniciado por BrujoNic 
si yo tengo la clave de administrador de dominio, podría ingresar y crear usuarios en el grupo de administradores locales, eso es MUY CIERTO.
Ese es el quid de la cuestión que todavía no entendeis.
No te hace falta ser administrador de dominio para crear cuentas locales, basta que tu cuenta esté incluída en el grupo de administradores locales de la máquina en cuestión. ¿Y quién puede incluir tu cuenta en el grupo Administradores? Pues o un Administrador de dominio o el usuario Administrador del pc. Olvidaos de las directivas que luego puedan o no aplicarse, eso ya se verá,
pero tú en principio, siendo miembro del grupo de Administradores locales podrás crear cuentas locales, que es lo que me estais pretendiendo rebatir desde el principio. Es más mientras no vuelvas a loguearte en el dominio las posibles políticas NO se aplicarán. Y voy más lejos aún, si inicias sesión en el dominio sin estar fisicamente conectado a él evitarás todos los posibles scripts de inicio de sesión que esten programados para ejecutarse en el equipo, luego enganchas el latiguillo y a correr hasta que se refresquen las políticas.
De hecho en corporaciones grandes los administradores de dominio se limitan a crear las cuentas de usuario y máquina en el directorio activo, la creación de la cuenta en la máquina del usuario y su configuración la hacen "in situ" los técnicos de mantenimiento que son administradores en todas las máquinas de su ámbito (si no muy malamente iban a poder trabajar).
Por supuesto ningún administrador de redes en su sano juicio le da la cuenta de administración del dominio a un técnico de mantenimiento, entre otras cosas porque no le hace falta para su trabajo. Como muuucho le incluirá como operador de dominio para que pueda agregar la cuenta creada al dominio cuando configure la máquina por primera vez.
Por mi el tema está zanjado, no dá para más. Puedes replicarme o no a tu conveniencia y después cerrarlo si quieres.
Hasta otra.