pravděpodobně bude stačit nastavit ty účty jako běžné users = omezené.
nemají právo zápisu do systémových adresářů a do \program files, ani si nemohou tato práva měnit, ani nezapíšou do hlavní větve registrů [hklm]. mohou měnit jen nastavení svého profilu.