En ese caso, me temo que la cosa está complicada.
Por lo que veo en el código, se comprueba si el usuario tiene el permiso "moodle/user:changeownpassword" en el contexto del sistema. Y por defecto, los roles de alumno y profesor se asigna en el contexto de los cursos. Y en el contexto del sistema los usuarios simplemente son 'usuarios autenticados' (siempre que hayan iniciado la sesión, sino son 'invitados').
Igual se puede conseguir creando un nuevo rol en el contexto del sistema (por ejemplo le llamamos 'permitido cambiar contraseña'. Se le asigna el permiso 'moodle/user:changeownpassword' y se asigna este rol a todos los usuarios que queremos que puedan cambiar la contraseña. Eso sí, hay que hacerlo manualmente, "uno por uno", Y ES FUNDAMENTAL hacerlo en el contexto del sistema, no a nivel de categoría o curso.
Y luego editamos el rol 'usuario autenticado' y le quitamos el permiso (columna 'Sin asignar'). IMPORTANTE: sólo le quitamos el permiso, pero NO LO PROHIBIMOS. La prohibición tiene preferencia sobre la asignación (como ya has comprobado), mientra que el no asignar el permiso es menos preferente que la asignación.
Todo lo anterior se me ha ocurrido ahora mismo y no lo he probado, por lo que no he verificado que funcione (aunque yo creo que podría funcionar).
Saludos. Iñaki.