Ограничение прав пользователей

Ограничиваем инсталляцию приложений для конкретного пользователя
Открываем консоль "MMC"
Добавляем оснастку "Редактор объектов групповой политики"
Через "Обзор" выбираем во вкладке "Пользователи" нужную запись
Сохраняем консоль

Настраиваем политику:
Переходим в "Конфигурация пользователя" -> "Конфигурация Windows" -> "Политика безопасности"
По параметру "Политики ограниченного использования программ" щёлкаем ПКМ, выбираем "Создать политику ограниченного использования программ"
Смотрим свойства "Применение"
Устанавливаем "ко всем программам, кроме библиотек", "всех пользователей, кроме администраторов"
Смотрим свойства "Назначенные типы файлов"
Чтобы разрешить запуск приложений посредством ярлыков в Windows, выбираем расширение "lnk" и кликаем "Удалить"

Переходим в "Уровни безопасности"
Задаём "По умолчанию" для параметра "Запрещено"
Переходим в "Дополнительные правила"
Создаём правило пути, если необходимо убрать запрет на запуск приложений с директорий, отличных от Windows и Program Files
В строке "Путь" задаём каталог
(например, место размещения папки с портативным софтом или играми), который будет исключением из правил любому пользователю компьютера, кроме администратора в случае указания соответствующего параметра в пункте 3.

Ещё можно ограничить:
Доступ к съёмным носителям
Использовать установщик Windows