Lokalny user - jedynie z możliwością instalacji/usuwania oprogramowania

Witam

Mam nadzieję że dobrze wybrałem dział...

Od dłuższego czasu borykam się z problemem stworzenia usera lokalnego który mógłby jedynie instalować i usuwać oprogramowanie, updaty... z systemu (nic więcej).

Ogólnie userzy mają domyślne konta domenowe na SAMBIE, i na kontach domenowych na ogół nie mogą instalować oprogramowania (choć programy takie jak GG potrafią się zainstalować nie wiedzieć czemu), ale często jest tak że musza zainstalować sobie poprawki, aktualizacje (nie tylko do systemu ale również do np. 3d studio max...), i wymagają do tego konta admina, a takowego nie chcę im udzielać.

Wiem że można to zrobić przez zasady zabezpieczeń lokalnych lub przez jakąś inną przystawkę... jednak nie wiem dokładnie co mam poustawiać.
Byłym wdzięczny za wszystkie rady a najlepiej za jakiś tutorial. Na pewno nie jednej osobie się przyda.

Pozdrawiam