Olá Ricardo,
Então, a opção mais restritiva realmente desativa para todos os usuários, sem exceção.
A minha sugestão para você é que use de 2 opções administrativas para tal, a fim de deixar a restrição maior. Ative usando a opção "Ativado somente para domínios permitidos", pois com isso você terá um controle maior. Em conjunto com isto, use
o cmdlet "Set-CsUser" para bloquear/liberar individualmente para cada usuário. Abaixo, umda doc sobre isso:
Using Windows PowerShell to Manage Lync Online
https://technet.microsoft.com/en-us/library/dn568001.aspx
Abços,