Shutdown unterbinden - Restart erlauben mittels Gruppenrichtlinie

Guten Morgen, hab den gestrigen Tag damit verbracht eine Lösung für das folgende Problem mit GPOs zu finden. Hätte an sich auch schon einen Weg gefunden, nur kommt mir das etwas kompliziert und umständlich vor. Heut morgen ist mir eingefallen, dass ich das ja hier mal zur Diskussion stellen könnte, nutze das Forum oft zum recherchieren, aber selten um Beiträge zum posten. Meistens werd ich auch fündig, also bin ich zuversichtlich, dass auch hier gewinnbringende Ansätze kommen. ;)

Ich betreibe eine W2K3 - XP Umbgebung mit rund 150 Clients und verwende recht oft Policies zur Verwaltung.
Nun stellt sich folgende Aufgabe:
Auf einigen Clients soll dem/der UserIn verboten werden, den Rechner auszuschalten (die sind abgesetzt in einem Geräteraum). Allerdings muss der User die Möglichkeit haben, den Rechner neu zu starten, was ja für den Support oft hilfreich ist.

Nun hab ich eine Policie erstellt und im Computerbereich die Settings
"Shut down the System" definiert, damit kann ich steuern, welche User den Rechner herunterfahren dürfen
"Shutdown: Allow System to be shut down without having log on" - klar, der Rechner darf bei der Anmeldemaske nicht heruntergefahren werden.

Soweit so gut, damit hab ich erreicht, dass nur Administratoren die Maschine herunterfahren können, allerdings können nun UserInnen die Maschine nicht mehr neu starten, sondern sich nur mehr abmelden.

Um jetzt einen Restart zu ermöglichen, hab ich eine Batch geschrieben, die per Runas (Adminrechte sind jetzt notwendig) über Shutown.exe einen Restart durchführt. Um keine Passworteingabe bei Runas durchführen zu müssen, hab ich ein VBS Script vorgeschalten, dass das Passwort an Runas übergibt, das Script ist codiert damit PW und Account nicht zu lesen sind. Dazu hab ich einen Serviceaccount angelegt, der das Recht für Shutdown.exe besitzt. Noch eine Msgbox.exe vorgeschalten um den User darauf hinzuweisen, dass das System heruntergefahren wird und ihm die Möglichkeit zu geben den Restart noch abzubrechen.

Alles in allem sehr umständlich, muss natürlich noch das Script auf die betreffenden Rechner per Logonscript verteilen ...

O.k. langer Text kurze Frage, wie kann ich das einfacher lösen, hab ich in der Policy etwas übersehen, dass mir die Möglichkeit gibt nur ein Shutdown zu unterbinden, nicht aber einen Neustart ?

besten Dank
Noah