Windows Terminalserver 2003 absichern - auch OHNE Active-Directoy in einer NT4-Domäne...?

Hallo zusammen,

stehe hier vor der Aufgabe, in unsere alten NT4-Domäne (1PDC und 2 BDCs, dazu W2K und XP-Clients sowie eine Handvoll W2K-Server) einen Windows2003-Server als Terminalserver einzurichten (besseres Druckerhandling, RDP5.2, höhere Farbanzahl im Client etc...)

Allerdings möchte ich die TS-User nicht alles am TS machen lassen <grins>, habe daher eine Benutzergruppe für TS-Benutzer in der Domäne angelegt, die u.a. das Recht hat, sich am TS anzumelden (funktioniert auch), nun möchte ich diese Gruppe auch dazu nutzen, den TS nur eingeschränkt benutzen zu lassen (kein Zugriff auf Systemordner, auf Lw D:, kein "Programme ausführen" etc.)

Habe mich dazu auch schon schlau gemacht, das kann man wohl alles über eine Gruppenrichtlinie regeln, nur gilt diese dann für ALLE User am TS, also auch mich als (Dom.-)Admin...

Ausnahmen lassen sich wohl konfigurieren über einen "Loopbackverarbeitungsmodus" im Zusammenhang mit Sicherheitsfiltern, die festlegen, das nur auf Gruppe X die Gruppenrichtlinie wirkt, aber das gilt offensichtlich alles nur für eine ActiveDirectory-Umgebung, oder?

Hat jemand einen Tipp für mich?

(Ausser jetzt "mal eben ein Upgrade der NT4-Domäne auf eine 2003er mit AD"..