чистка раб. столов в домене и запрет их редактирования
 

подскажите, как и чем лучше централизованно зачистить все раб столы в домене + запретить пользователям сохранять на них что либо?
нужно оставить там пару ярлыков и все

Logon-cкриптом. Перебираете содержимое Рабочего стола и оставляете только файлы ярлыков. Прочее удаляете.

Указать права "только для чтения".
Опять таки можно запустить через скрипт программу cacls

про логон я понял, а вот про cacls можно подробнее?

Большая и смиренная просьба советовать только то, что пробовали и гарантированно за это знаете. Папки профиля лучше не ограничивать, да и работать ограничения не будут. Система может кинуть неисправный, на её взгляд, профиль и создать новый.

Мне ка, лучше выяснить самоцель проекта.