windows server 2016 rdp как отключить локальные ресурсы для определенной группы?

пробовал уже и через групповые политики, но те настройки что нужны - есть только для политик компьютера, а мне надо на пользователя, потому что все пользователи подключаются к одному компьютеру через rdp
пробовал через пользователей active directory в сеансах убирать галочку - то же не работает
из пользователя при применении всех политик изменений - выходил-заходил, диск все-равно появляется.
если отключаю отображение и доступ ко всем дискам для пользователя, то виден только его подключенный диск.

это то, что я уже пытался сделать. теперь то, что я пытаюсь сделать:
есть машина, она в домене, пользователи тоже доменные. они подключаются к машине, чтобы работать там, но так же самые хитрые могут в ярлыке rdp включить возможность подключать свои диск, чтобы туда переносить данные, собственно есть список таких хитрых людей, которым это дело надо запретить, не всем, а конкретной группе.

помогите, может есть какое-либо решение? из интернетов только натыкался на 2003-2008 серверные решения, но там 9 летняя давность ответов