Я помню такую хрень с KES, что политиками запрещаешь трогать службы клиенту (прокативную защиту, межсетевой экран и так далее) )
Клиент может всё что хочет включить, а выключить прав нет, так забавно, когда производительность уходит, машина вешается и победить это никак клиенту, такой мегапромох у них был )
Исправили через месяц )