Как отключить возможность обновления для обычных пользователей на терминальном сервере, но оставить доступ к обновлениям для администраторов, которые могли бы обновлять терминальный сервер вручную?

Самое простое решение - состоит в том, чтобы отключить все нотификации для пользователей, а также отключить доступ к управлению обновлений через GUI.