ну... хозяин-барин, как говорится... каждый админ сам решает, до какой степени ему стоит "щемить" права пользователя.
И все же, для решения подобных вопросов врядли стоит лезть в реестр. Если уж у вас есть желание "затянуть потуже гайки", пользуйтесь групповыми политиками. Там же все есть! Запрети доступ к сетевому окружению, к инсталлятору, запрети настраивать десктоп... сотни политик на все случаи жизни. Крути свои гайки пока не посинеешь! :-)

[Sera]

Liapsus

юзер имеет права админа только на своей рабочей станции (это нормально).

Нормально только в отдельном случае.
Попробуй с таким подходом администрировать распределенную сетку из 200 тачек персоналом в 3 (три) человека