[zai]

В чем может быть проблема куда копать »

Они могут входить в группу администраторов на своих компах, т.е. локальный администратор.

[mcintosh55]

т.е. Посмотреть не входит ли пользователь в локальную группу администраторов

[El Scorpio]

Заходу в AD пользователи и компьютеры смотрю в какие группы входит пользователь так в этом списке нет Администратора. »

Группа "Администраторы" - локальная.
При вводе компьютера в домен в эту группу на компьютере добавляется группа "Администраторы домена", чтобы доменные администраторы могли администрировать данный компьютер.
Если эту группу на компьютере были добавлены доменные пользователи, то эти пользователи будут иметь статус администраторов на данном компьютере (без возможности администрирования серверов и других компьютеров) вне зависимости от своих полномочий в домене.


Если вы считаете оное излишним (а оно практически всегда излишнее), тогда откройте "Управление компьютером" для данного компьютера и удалите лишние записи из локальной группы "Администраторы"