?Запрет на установку ПО
 

Цель: запретить установку ЛЮБОГО ПО в win xp sp2.
Вариант: вкл. всех обделенных в группу, потом этой группе сделать full deny для файлов InstallShield (IKernel.exe?) и msiexec.exe.
Вопрос: файлы для запрета те? и как быть с ПО которое использует свой инсталлятор (если такое возможно).
Или есть какой более цивилизованый метод?
Спасибо

Можно поигратся с доступом на создание файлов/папок к локальным дискам (папку временных файлов, последних документов и т.д. надо исключить от наследования этих параметров), также можно поиграться с доступом на создание к ветвям реестра.
Для сохранения инфы\доков выделить отдельную папку, в которой можно все, и через Политики ограниченного использования програм в Локальных политиках задать все что можно запускать (есстественно папку для доков, временные не наследующие политики папки туда не включать).
Все вышеперечисленное чревато некорректной работой приложений которые запускаясь от имени пользователя создают при работе новые файлы/папки в непредусмотренных выше местах.

Во-во, в этом то и проблема, так я уже пробовал - коряво :(
Вот и хочу попробовать поиграться с процессами, которые проводят через себя установку ПО.