potresti usare il tool di microsoft SteadyState che ti permette di impostare degli utenti con limitazioni, per quanto riguarda il setup dei programmi controlla le opzioni di SteadyState. O al massimo blocchi tutti i setup e li fai tu o il titolare usando l'account di ammnistratore protetto da password.