Politicas

Buenas a todos,

Tengo una duda a ver si me pueden ayudar. REsulta que tengo un 1 usuario
de
mi dominio (w2K server). Quiero que este usuario cuando inicie sesion en
su
equipo (Wxp), ya digo que es un usuario de dominio.. no pueda hacer
practicamente nada mas que trabajar en el equipo y pueda pinchar su
pendrive.
El problema es q si le doy permisos de administrador tiene opcion a todo
(instalar programas, etc), si le doy permiso de Usuario avanzado tb puede
instalar programas y si le doy permisos de usuario (no instala programas
ni
nada) pero tp podría instalar su pendrive. Como puedo modificar estas
políticas y no se si se podrá definir mucho que cosas puede hacer un
usuario
o grupo determinado.
He visto por ahí que se puede incluso hacer que el usuario tenga un fondo
de
escritorio determinado y no lo pueda cambiar.. donde y como se hace esto??

Muchas gracias
David