Программно - никак. Права могут спасти лишь частично (от рута не спасут). Можно через tunefs добавить дефолтную опцию монтирования ro. Но это работает лишь на ядре 4.0 и выше.
Я бы на вашем месте взял бы SD/microSD, они имеют физический переключатель RO (не все).
Тут нет точного ответа.
Настроить домен и GPO. Взять и перевести компы. Решить проблемы по мере их поступления.
Всё зависит от того, как у вась сеть устроена и что требуется использовать юзверям компов
