Você não pode restringir isso, pois há configurações específicas do usuário em "Configurações do Sistema" - Se você tem medo de alguém mudar alguma coisa, desde que seja um usuário padrão, não poderá alterar nenhuma configuração do sistema. Se você realmente quisesse remover o acesso deles para "Configurações do Sistema", você poderia mover o arquivo executável para algum lugar fora do $ PATH, e definir o seu $ PATH para coincidir com o novo diretório.