[kwinto]

если речь о запуске проги от имени другого пользователя, то RunAs.
или по правой кнопке. в контекстном меню есть аналогичный пунктик.
можно батник:
runas /user:имя \путь\к\программе

запретить юзеру "имя" коннектиться по сети и по терминалам.
еще поиграться с политиками безопасности
есть возможность разрешать запуск только определенных файлов. есть в групповых политиках. не помню как, но дока попадалась на сайте microsoft.
права выставить на запрет, а потом разрешить только нужное. т.е. запретить на весь диск все, а потом дать доступ только на прогу и файлы. чтобы даже фар или другой файловый менеджер нельзя было запустить от того юзера)))
если запретишь вход по сети во всем домене, то даже если и сможет зайти в каталог с прогой и файлами, то перебросить никуда не сможет.