Dobře:

Existují uživatelé - jednotlivci
Existují skupiny - pro lepší správu jednotlivců (skupina "pitomci" nesmí číst v adresáři zzz)
Existují tři stavy: povoleno (přikázáno), zakázáno, není určeno
Existují různé akce co se dá povolit/zakázat (číst, zapisovat, měnit atributy, mazat ...)
Restrikce, nebo povolení se dají aplikovat třeba na soubory či adresáře (nesmí psát, může číst, nesmí smazat), nastavitelné třeba v průzkumníku/vlastnosti složky, tak i na ne/zobrazení funkcí systému - to se aplikuje v registry pomocí určených přepínačů - to je mimochodem i konzole gpedit.

Vše se dá najít na google (zakázat zobrazení ovládacích panelů registry). Dále existují systémové účty pro potřebu systému (System,nebo na novějších skrytý Mandatory Label) - v tom ať se vrtají zkušení- začátečník tím obvykle zruší systém. Existují i "tweakovače" na restrikce - zbytečnost, lepší je to pochopit, než odkliknout.