Para lo que pides, lo mejor es crear unos perfiles de usuario capados. En "Administración de equipos" de "Herramientas Administrativas" tienes un editor de directivas locales del sistema. Mira a ver si consigues limitar eso aplicando esas directivas.