[ShaddyR]

Так описанная Вами политика никак не поможет отличить «ТЕ BAT'ники, входят в состав разрешенного ПО или написаны\положены администратором» от созданных пользователем. Она просто разрешает исполнение любых пакетных файлов и запрещает открытие интерпретатора команд. »

Т.е. если я тебе скажу, что пользователю можно запретить запускать батники откуда-либо, кроме рабочего стола и никакие другие папки ему доступны не будут, равно как и возможности писать на рабочий стол у него нет - ты наконец уловишь идею?
Как дети, чесслово. Мне начало поднадоедать доносить простые вещи. Хочешь уяснить для себя что-то, выходящее за пределы твоего понимания - создай соотв. тему и задавай вопросы в ней. 17 сообщений оффтопа в теме не кажутся тебе перебором?