Как ограничить права тонкого клиента?

Стоит виндовс, клиенты находятся в двух группах: "Пользователи" и "Пользовтели удаленного рабочего стола"

inuboh: тогда они по дефолту ставить не должны. Другой вопрос, что у вас видно кто-то поковырялся с учетками.

inuboh: Член группы "Пользователи" не имеет прав на запись в системные каталоги, в т.ч. Program Files, но может ставить софт в свою домашнюю директорию (C:\users\%username%\AppData\Local).
Когда установщик спрашивает: "Установить для всех" или "Установить только для меня", то в первом случае установка происходит в Program Files, а во втором случае в AppData.
Поэтому чтобы запретить пользователю устанавливать софт, надо запрещать запись в AppData, что нереализуемо, т.к. туда пишется много чего от работающего софта.
Следовательно подходящим решением будет запрет запуска любых исполняемых файлов, кроме доверенных через групповые политики (копать в сторону "политик ограниченного использования программ") habrahabr.ru/post/101971

Inlore: спасибо) именно так и есть, он устанавливает программы в свою домашнюю директорию) а можно ли как то запретить запуск установчных файлов именно с папки "загрузки" ?

inuboh: конечно в локальной политике безопасности пропишите запрет и все.

АртемЪ: опишите пожалуйста подробнее как это сделать, если можно?

inuboh: вам же Inlore ссылку дал на статью на хабре, как раз про это

Inlore: спасибо)) все понял, разобрался)