[suvolod]

Сам занимался этим последние две недели.. Для себ такой путь выстроил.

Все юзеры работают только под правами "Пользователи" (админ только один, то есть ты)
В групповых политиках включаешь политику ограниченного использования программ, причем меняешь дефолтную "Все разрешено" на "Все запрещено" - это чтобы с флешек и т.д. никакой софт не могли запустить.
Максимально обрезашь интерфейс и права пользователей. Здесь тоже политиками. Правда, не все политиками можно порезать.. да и долго копаться/настраивать. Так-что я создал рег-файл настроек, блокирующих интерфейс и пользователям под каждым юзером запустил этот файл. Ну и для себя создал рег-файл, восстанавливающий настройки - на тот случай, если надо будет прийти к конкретному юзеру и из под его учетки что-нибудь сделать с админ. правами.