Запретить пользователям локальный вход на сервер

Переносим  сервера в отдельную OU Member Servers OU

 Открываем gpmc.msc создаем новую групповую политику Member Server Security Settings
 Правой кнопкой нажимаем по Member Servers OU открываем меню Link an Existing GPO в group policy object выбираем Member Server Security Settings > OK

Правой кнопкой нажимаем по Member Server Security Settings, и кликаем Edit.  
Раскрываем ветку Computer Configuration\Policies \Windows Settings\Security Settings\Local Policies\User Rights Assignment 
Правой кнопкой нажимаем  Allow log on locally, и выбираем Properties. 
Далее ставим флаг Define these policy settings и жмем Add User or Group

 Добавляем группы Domain Admins и Administrators
Пробуем авторизоваться на сервере lon-svr1 или lon-svr2 под пользователем не входящем в группы Domain Admins и Administrators.