Outra alternativa é permitir que eles tenham acesso. Acabamos por conter seu comportamento (bem, comportamento destrutivo) usando o Deep Freeze da Faronics; Ele permite que você "congele" o disco rígido e, em seguida, ao reiniciar, volta ao estado padrão. Foi catártico quando testamos isso limpando o subdiretório do Windows até que o Windows meio que balançou e caiu ... então reinicializou e voltou.
Isso permite que os alunos façam o que quiserem sem destruir sua configuração; Também descobrimos que eliminou muitos problemas de corrupção com perfis e caches.
Acho que existem algumas outras alternativas, mas eu usei apenas o DeepFreeze. Há um console central usado para monitorar estações de trabalho e pode descongelá-las e congelá-las remotamente, e também usá-las para obter endereços IP para estações de trabalho específicas.
Eu trabalhei em laboratórios que foram bloqueados a ponto de serem quase inutilizáveis para qualquer coisa. Mesmo em sala de aula nós não conseguimos, por exemplo, certos documentos para abrir ou usar o bloco de notas para ler o código-fonte porque não era permitido pelo administrador de sistemas que estava a duas horas de distância em um site central, e o cara do admin local lamentou não ser capaz de corrigir determinados problemas sem pré-organizar as coisas com os administradores centrais. E isso foi uma faculdade. O Deep Freeze deu mais liberdade para que o trabalho fosse feito sem interferência (também permite em nosso site que certas pessoas obtenham privilégios mais altos na máquina local, já que qualquer malware ou alteração é apagada na reinicialização; se eles estiverem dispostos a instalar "pessoal" software eles se cansam de ter que reinstalar constantemente a cada reinicialização, pelo menos é o que temos visto).
Nós tentamos bloquear as coisas por meio da política quando executamos os serviços do terminal 2000; Descobrimos que a política bloqueava apenas o acesso a certas coisas, como o explorador. Parecia que alguns programas (como uma cópia antiga do gerenciador de arquivos dos 3.x dias) ainda era capaz de navegar na unidade C:, junto com alguns gerenciadores de arquivos freeware! A menos que isso tenha sido corrigido, parece que algumas APIs ainda permitem que os usuários acessem unidades locais que deveriam estar bloqueadas pela política. Além disso, temos sistemas que, por razões que nunca entendemos, às vezes não recebem a política imediatamente ou agem como se não conseguissem nenhuma atualização de política depois de uma ou duas reinicializações, então às vezes tínhamos pessoas que podiam ignorar bloqueios de configuração e fazer coisas eles não deveriam.