[Coutty]

Я думаю, что оптимальный вариант - это не пускать пользователя к компьютеру.

Если нужен неоптимальный, то:
1. Свойства экрана и стили - в групповых политиках (gpedit.msc)
2. Создавать/удалять значки на столе и в меню "пуск" - дискреционный доступ (тот, что на вкладке "безопасность" в свойствах папки рабочего стола пользователя).
3. Двигать значки не запретить.
4. Что значить "изменять"? Переименовывать? В свойствах ярлыка копаться? Тогда см. п.2.
5. Подключения удалённого доступа не знаю.
6. Запрет запуска/установки - замкнутая программная среда. В групповых политиках есть возможность запретить/разрешить программы, но имхо это только защита от дурака. Для более серьёзных пользователей нужна сторонняя защита. (Например, SecretNet. Я что-то многим её предлагаю, хотя она довольно дорогая. Альтернативу просто не искал).
И, вроде, в групповых политиках можно запретить установку. Там сам покопайся - много чего интересного.
Не забудь также про доступ к портам и про мультизагрузку.