[Forpost]

один компьютер? и ради него домен?

Сеть компьютеров.

ну вот первый админ может спокойно все права восстановить.

Пока никто не смог, за год с лишним работы

(только для себя смогут, как Chrome, например)

Нельзя) Даже запуск ехе,com,bat с рабочего стола нельзя запускать.

UPD.
Чуть-чуть разобрался.
Нашел gpmc.msc
Там создал новый объект политики, указал в фильтрах безопасности только юзернэйм клиента и групповой политике в разделе пользователя запретил в проводнике меню "файл", для проверки, вышел и зашел на ХРхе под этим клиентом. Но политика не сработала. В чем может быть проблема?