то есть если на русский лаконичный перевести
тебе нужно чтобы локальные юзеры rdp имели доступ только с локалки и не могли со внешних ip коннектица для управления, но при этом чтобы админы могли коннектица с любого ip ??

если так то я хз даже как гуглить
как бы дополнительная авторизация получается нужна.
если этого нет в групповой политике то возможно поможет заведение отдельного порта rdp для админов (не знаю возможно ли повесить rdp для прослушки двух портов)