Como impedir instalar aplicaciones

Hola a tod@s.

Me gustaría saber como impedir que un usuario instale aplicaciones, pero a
su vez pueda ejecutar programas, los cuales usa en su trabajo, y que
necesitan acceder a recursos que solo se permite al perfil de administrador
del equipo.

O sea, si al usuario lo hago administrador del equipo, este puede ejecutar
ciertas aplicaciones que acceden al registro de windows, p.e., y son
necesarias para su trabajo, pero no impido que instale aplicaciones.

En cambio, si no le pongo perfil de administrador del equipo (la mayoría de
los usarios no lo tienen, pues no lo necesitan), evito que instale
aplicaciones, pero no pueden ejecutar programas que necesitan para su trabajo.

¿Es posible mediante políticas, o de alguna otra forma, conseguir lo que
indico en un principio?

Gracias por vuestras respuestas.