Com as configurações da política de grupo, você certamente pode bloquear o acesso a quase tudo. A questão é: o aplicativo que o usuário tentará executar ainda funcionará.
Você pode tentar RemoteApp . Desta forma, o acesso dos usuários é redirecionado para o aplicativo e talvez alguns arquivos e pastas que ele realmente precisa.