Как ограничить пользователей удаленного рабочего стола?

Всем привет.
Тестирую удаленные рабочие столы на win server 2016.
Вроде все получается, НО все пользователи, которых я создаю, видят все программы для администрирования сервера, мало того, они могут спокойно открывать диспетчер серверов и делать с ним что угодно. Так же они могут выключать сервер, ставить ПО и так далее. Почему так происходит? Я же не давал им администраторов.
Подскажите, как огранить пользователей до уровня "Пользуйся чем дают", поубирать из меню ПУСК все программы, которые их не касаются и вообще запретить трогать сервер?
Домена нет.