Bei meinem System sind die Benutzer über ldap eingebunden. Das heißt sie erscheinen als "Netzwerk" Benutzer. Diese Benutzer können ohne Probleme das System neustarten, aussschalten etc.. Außerdem kann dies auch jeder ohne Authenzifikation beim Login machen.
Natürlich kann man leider nicht verhindern, dass jemand den Ein/Aus Schalter 5 sec lang betätigt oder gar den Stecker zieht. Alles kann man ja nicht haben ;-).