Запретить клиентам запускать программы в терминальном сеансе

Здравствуйте!

Подскажите, как можно (и можно ли вообще) разрешить клиентам терминального сервера запускать в своих сеансах только определённые программы?

Немного конкретики. "Шыбко вумные манагеры" наловчились ползать по интернету в терминальном сеансе, что с моей точки зрения абсолютно недопустимо. Хотелось бы ограничить их (в терминальном сеансе) возможностью запуска 1С и офисного пакета.

Пробовал в качестве среды указывать пользователям скрипт с запуском 1С - не то. Дело в том, что в такой ситуации очень просто запустить проводник, а дальше - "гуляй, рука, балдей ...", как говорится. Пробовал разбираться с политиками ограниченного использования программ, но по-моему это не совсем то, поскольку мне не нужно ограничивать пользователей в запуске программ на локальных компьютерах, а только на сервере, в терминальном сеансе.

Немного информации о сервере и сети. Windows Server 2003 SP2, поднят AD и TS, все клиентские компьютеры включены в домен.

Спасибо за ответы :-)