Как не давать юзерам устанавливать программы? Опции

[Overload]

Други, ситуация такая.
Есть комп, за ним работает несколько человек. Я создал три учётки: Админ (я), один юзер с паролем (группа "Пользователи") и гостевая запись, без пароля.
Требуется: сделать так, чтобы любой софт мог устанавливать только Админ из-под своей учётной записи. Остальные чтобы не могли поставить ничего.
(достало чистить данную машину раз в полтора месяца).
Система: Win7 Home Advanced с установленным сторонним плагинчиком gpedit.msc (в данной версии Семёрки "родного" редактора групповой политики тупо нет).
Сделано: отключён Windows Installer (толку нет: МайлРу Агент, например, установился из-под юзера с полпинка).

Где порыться собаке?

[maded]

Заходим панель управления - учетные записи пользователей - учетные записи пользователей
управление другой учетной записью - установить родительский контроль
щелкаем на неадминской учетке.
включаем родительский контроль
Ограничение на запуск программ - щелкаем вкл.
Находятся все проги - ждем
Жмем кнопку снизу - "отметить все" - все проги разрешились, а затем снимаем галки с их установщиков/удалятелей... (ну и/или с ненужных прог еще)
Юзер теперь может запускать ТОЛЬКО эти проги, ни с флешки, ни портаблы, ни закачанное ничего не установится и ни запустится.
Жестко, но быстро, и надежно. Вариант?

[Overload]

Да, я это пробовал. Это единственный реальный вариант. Однако, судя по всему, сборка Винды - глюкавая... назначаю контроль - он мне сперва говорит, что это сделать не удалось (но после перезагрузки включается). Потом я указываю все программы - и при нажатии ОК система говорит: не удалось внести изменения в параметры родительского контроля. И так пару десятков раз. Копался в службах, вроде всё, что нужно, включено...
В общем, поступил я проще. Сделал образ Акронисом и запланировал раз в месяц восстанавливаться с него.
Пусть ставит чего хочет... месяц порадуется человек. А там - опять всё чисто-брито.