Hallo,
mir ist afaik keine Möglichkeit bekannt, einerseits die notwendigen Admin-Rechte für Programme zu vergeben und andererseits den Zugriff auf Systemeinstellungen zu verbieten.
Programminstallation benötigen oftmals nur schreibenden Zugriff auf den WINNT Ordner, verschaffst den User darauf Zugriff können sie idR auch Programme installieren.
Nachteil ist dann, das sie durch den Zugriff auf WINNT das ganze System lahmlegen können. Da kannst du ihnen auch gleich volle Admin-Rechte geben.
Hast du es mal mit Hauptbenutzer Rechten versucht ?
Gruß
Terran Marine