Как ограничить действия в Windows?
Это называется политика ограниченного использования программ.
https://habr.com/ru/post/101971/
Плюс банальные права NTFS.
Политика разрешает запускать приложения расположенные в определенных каталогах Например в папке Windows или ProgrammFiles. При настроенной политике запустить приложение из другого места, например с рабочего стола не получится. А запись пользователю разрешена только в домашний каталог - это уже права файловой системы.
Стандартными, конечно.
В домене просто создаём пользователя, настраиваем ему права (урезанные) через группы и последующих таких пользователей создаём копированием от первого.
Небольшой мануал: itmu.vsuet.ru/Posobija/AD/htm/2_pr.htm