Configuración de una directiva de seguridad

Trabajo como programador en una empresa de distribución con 30 equipos y me
han encargado limitar la instalación de programas así como el acceso de los
usuarios a las aplicaciones.

La idea es que naveguen libremente por internet pero que no puedan descargar
e instalar programa alguno. Y en segundo lugar que puedan ejecutar las
aplicaciones de trabajo que proporciona la empresa, con acceso a carpetas
compartidas de servidor e impresión por la red. Y la hora del sistema debe
ser la del servidor.

(Todo bajo W2K Active Directory)
Había pensado en lo siguiente (corrijanme si me equivoco, por favor):

1. diseño la jararquía de equipos y la traduzco en unidades organizativas

2. Definir una directiva de grupo desde el mayor nivel que afecte a todos
los demás

3. A cada grupo de menor nivel le indico sus particularidades

4. A nivel local creo que lo mejor sería no tocar nada, no? (así nos
evitamos tener que administrar individualmente los 30 equipos)

5. Para evitar instalación de software inhabilito en Windows Installer por
usuario. ¿Bastaría con esto?

A partir de aquí llegan mis problemas ya que no sé como compaginar esto:
-Imprimir en red
-No instalar nada en el equipo
-No cambiar la hora del sistema

Gracias y un saludo,