Evitar que usuarios no instales aplicaciones en sus estaciones

Estimados Amigos

Una consulta, hay alguna manera de poder configurar medinate una GPO que
ciertos usuarios no puedan ejecutar ningún archivo EXE o MSI.

El motivo de está deciión es porque actualmente casi la gran mayoria de
usuarios es administrador de sus propias PC (por el funcionamiento de una
aplicación in house), pero por tener estos permisos los usuarios realizan la
instalación de diferentes aplicaciones que no son standar en la organización,
hay alguna otra manera de controlarlos.

Muchas Gracias por su ayuda.

Saludos.