interdire connexion en local des compte de type admin-xxx

Bonjour à tous.
Nous (mes collègues et moi) sommes en train de mettre en place active directory dans notre structure. Je ne suis donc pas encore un expert, et j’espère donc ne pas poser de question trop bête ^^
Je me posais la question : peut-on interdire l’ouverture de session locale de type admin-xx mais que les utilisateurs puissent tout de même utiliser ce type de login pour l’installation d’un programme (ex : admin-toto ne peut pas ouvrir de session, mais, depuis la session toto, si toto veut installer Acrobat Pro, il peut faire un clic droit sur le .exe, exécuter en tant que admin-toto) ? Si on peut mettre cela en place, autre question qui en découle, peut-on interdire les sessions admin-xx mais pas la session infoadm par exemple (au début je pensais interdire l’ouverture aux session administrateur locaux, mais, premièrement je ne sais pas comment, deuxièmement, en cas de problème réseau, ou de non connexion à l’active directory depuis trop longtemps, c’est bien que le service informatique garde la possibilité d’aller sur une session admin locale…) ?
Je vous remercie pour votre future aide, ou vos futurs conseils :D