Как запретить что-то изменять вообще на рабочем столе, через GPO, кроме админов
 

Скажите пожалуйста, начальство меня уже замучало, как можно через GPO запретить вновь создаваемым пользователям запретить что-то записывать на рабочий стол, и в мои документы, в локальном профиле через групповые политики.
и на серверах Терминалов тоже возможно такое сделать ?

А короче вот так запускаете в скрипте логона AD при старте :

"%systemroot%"\system32\cacls "%userprofile%\Рабочий стол" /E /P "%username%":R /t
"%systemroot%"\system32\cacls "%userprofile%\Мои документы" /E /P "%username%":R /t