Windows 7 Professional; zabezpieczenie przed 'użyszkodnikami'

Witam,
Bardzo proszę Was o pomoc.
Pomagam znajomemu przy migracji z Visty do 7 (Pro). Dotychczas restrykcjami zajmował się Windows SteadyState (nie ma Active Directory). Niestety, ale Win7 go nie obsługuje. W związku z tym musimy nałożyć ograniczenia na użytkowników standardowych. Przez gpedit.msc jak to robiłem, to adminowi również się dostawało - pomimo zastosowania pewnego triku

Mam prośbę, jak i co ustawić, by:
1. można uruchomić tylko zainstalowane programy - reszta exe i innych wykonywalnych nie powinno się dać uruchomić?
2. zablokować zapis na dysku wszędzie oprócz katalogu użytkownika i pulpitu (dodatkowo ukryty dysk)?
3. żadne zmiany nie były zapisywane przy wylogowywaniu (tapety itd.)? profil obowiązkowy?

oraz jak to potem wszystko przenieść na pozostałe komputery?


Chcialbym zablokować jeszcze dostęp do: uruchom, regedit, gpedit, informacje o systemie + menedżer urządzeń,centrum sieci i udostępniania, *włącz/wyłacz kartę sieciową, zmiany kompozycji, rozdzielczości ekranu, brak wejśćia w narzędzia administracyjne, panel sterowania, szablony administracyjne, aplet programy, menedżera zadań, wyłączenie opcji blokady komputera, wyłączenie personalizacji pasków zadań, narzędzi; zmiany kalendarza, czasu; zablokowanie wiersza poleceniea, zmianom ustawień menu start, paska zadań, blokada zarządzania dyskami, komputerem, zasadami grupy. To wszystko powinno pójść przez gpedit.msc. Tylko jak to raz zrobiłem, to adminowi odebrało również dostęp do edytora zasad grupy.

Niestety komputery nie są w domenie.
Z góry dziękuję Wam za pomoc i cenne wskazówki
Liczę na Was!
Pozdrawiam