Se você não confia que eles chegarão ao tl1 sem um desses logins, por que não desabilitar os logins locais?