Как запретить запись на рабочий стол, кроме создания ярлыков для приложений
 

Скажите пожалуйста, как можно в Active Directory запретить определенной группе запись на рабочий стол, кроме создания ярлыков на рабочем столе

zaqwsx_, создание ярлыка - это уже запись.

да, понятно, вот в том-то и прикол, чтобы ничего нельзя было записывать, кроме как ярлыкам, или может какую-то квоту на рабочий стол для каждого пользователя выставить можно в 20 кб ?

Можно, с помощью политики folder redirection перенаправить рабочие столы пользователей на сервер с установленным File server resource manager.
Затем, для папки с пользовательскими рабочими столами настроить с помощью File Screeneng Management фильтр, который будет разрешать сохранять на раб. столе только файлы с расширением *.LNK. До кучи настроить шаблон квоты на папку с пользовательскими рабочими столами с помощью Quota management, в результате каждая папка с пользовательским рабочим столом будет ограничена, например, 1Mb. (это на тот случай, если кто-то додумается "подделывать" расширения lnk для других типов файлов).

Спасибо большое, а почему при установке этого компонента видовс требует srmclient.dll на CD2, но его нигде нет, не подскажите, где его взять ?

File server resource manager - это компонент windows server 2003 R2, редакция выходит на двух дисках. Если нигде второго диска нет, как вам будет удобнее его достать, я не знаю. Свяжитесь со службой поддержки MS, объясните ситуацию.

Да, спасибо, уже нашел, просто всегда использовал только один диск

Скажите, вроде все поставил, настроил квоту на сетевую папку где хранятся "Рабочие столы", а как нормально настроить на нее запрет на запись по маске файла ?

Что-то получается только на все папки, или покажите пожалуйста где почитать, что-то в интернете не нашел :(
Т.е. я как бы создал в "File screens " темплейт для расшаренной папки D:/Desctop_RO, для него создал такие вот политики как на скриншоте :

Screening type поставьте активным.
Создайте новую файл-группу
в files to include поставьте *.*
в files to exclude поставьте *.lnk

так на скриншоте так и стоит вроде (только там стоит Pаssive, но Active я тоже ставил, и cтавил вместо одной "*", в масках файлов две "*.*" звездочки), но в винде при создании ярлыка говорит, что нет прав, такое ощущение, что винда создает не файл с расширением xxx.LNK, а вообще без расширения в начале, а потом после создания, переименовывает его в файл с расширением LNK.