Для локальной машины скрипты можно задать с помощью оснастки для mmc.exe gpedit.msc (Политика "Локальный компьютер").
1. "Конфигурация пользователя" - "Конфигурация Windows" - "Cценарии (вход/выход из системы)".
2. "Конфигурация компьютера" - "Конфигурация Windows" - "Cценарии (запуск/завершение)".
Кроме того, скрипт для входа пользователя можно задать с помощью оснастки для mmc.exe "Локальные пользователи и группы", в свойствах пользователя, вкладка "Профиль", поле "Сценарий входа".

Для домена скрипты задаются практически аналогично, в соответствующих оснастках (оснастка "Active Directory Users & Computers", в свойствах организационной единицы вкладка "Group Policy").

Скрипты входа-выхода пользователя работают с правами этого пользователя на данной локальной машине. Например, когда компьютер добавляется в домен, в группе локальных администраторов появляется группа domain admins, которую при желании можно оттуда удалить. После этого администраторы домена на данной машине не будут иметь административных привилегий.

Скрипты запуска-завершения работы системы работают от локальной системной учётной записи SYSTEM, которая имеет права, близкие к администраторским, но несколько урезанные.

Групповые политики Active Directory.