[snark]

Я делаю так: развертываю 7-zip на компьютеры (не на пользователей). На шару \\server\soft\7zip выложил пакет в msi и модификатор (*.mst). Права на папку: Система - полные, Администраторы домена - полные, Компьютеры домена - чтение и выполнение.
В групповой политике параметры пользователя отключены. Фильтры безопасности (первая вкладка внизу) — применяется только для отдельной группы компьютеров, на которых требуется развернуть 7-zip.