uživatel x se nepřidává do skupiny y, ale rovnou při založení do skupiny s omezenými právy (v anglických win je to users). ti už mají default omezený přístup do adresářů disku a nemohou měnit leckterá nastavení.
pokud potřebuješ superomezení, dej toho uživatele do skupiny "guests" - mám pocit že jediné co může je přihlásit se do windows.

jemnější omezení pro uživatele/skupiny je třeba v zabezpečení adresářů u xp profi, anebo pro omezení chování přes gpedit.msc - tady ale pozor abys něco nezměnil všem uživatelům včetně administrátora. běžně to umístění do users postačuje, viz odkazy na zdejší články.