как запретить пользователю доступ?

вроде как ограниченному юзеру (т. е. обычному юзеру) и так запрещён доступ на запись к каталогу програм файлс и виндовс. ну и конечно нет доступа к документам админа. а при желании можно хоть в "мои рисунки" установить. но многие проги (особенно большие и игры) добавляют куски в винду. так что и так не выйдет. для надёжности можно установить право на запуск определённых прог, и никаких больше. делается в реестре.
открыть реестр - пуск -выполнить - regedit - Enter.

Запрещение запуска программ
Windows позволяет ограничить доступ к программам, кроме разрешенных в специальном списке.

Для ограничения запускаемых программ надо открыть раздел

HKCU\SOFTWARE\Microsoft\Windows\CurrentVerson\Policies\Explorer
и создать там ключ RestrictRun типа DWORD со значением 0х00000001. Затем тут же надо создать подраздел с аналогичным именем RestrictRun и в нем перечислить список РАЗРЕШЕННЫХ к запуску программ для текущего пользователя. Записи в этом подразделе пронумеровываются, начиная с 1, и содержат строки с путями (необязательно) и именами приложений. Файлы должны быть с расширением. Например, Word.exe, Excel.exe ...

Не забудьте указать файл Regedit.exe, иначе Вы сами не сможете больше запустить редактор реестра! Для сброса ограничения на запуск программ надо установить значение ключа RestrictRun в 0.

Разрешения на запуск приложение, кроме указанных в списке
Можно решить обратную задачу и указать список запрещенных к запуску приложений. Надо открыть раздел

HKCU\SOFTWARE\Microsoft\ Windows\CurrentVerson\Policies\Explorer
и создать там ключ DisallowRun типа DWORD со значением 1. Затем надо создать подраздел с этим же именем DisallowRun и в нем указать список запрещенных программ в виде строковых параметров. Записи в этом подразделе пронумеровываются, начиная с 1, и содержат строки с путями (необязательно) и именами приложений. Файлы должны быть с расширением. Например, Word.exe, Excel.exe. Например:

"1" - "calc.exe"
"2" - "thebat.exe"
"3" - "hl.exe"

Эта настройка действует на программы, который запускает процесс от Windows Explorer, но не защищает от запуска этих программ при помощи Диспетчера задач (Task Manager), который запускается системным процессом или другими процессами. Также эти программы можно запустить через командную строку Cmd.exe.

делать это надо из-под того юзера для которого идёт настройка (т. е. от ограниченного) вроде так :)