Как максимально ограничить доступ к файловой системе?

По умолчанию пользователь и даже гость в Windows 2008 могут создавать папки и файлы в корне C:, просматривать содержимое папки Windows и т.д.
Нужно ограничить доступ так, чтобы он мог создавать что-либо только в своей домашней директории, а ещё лучше, чтобы он и просматривать ничего лишнего не мог.