Ну и последнее - на каждой рабочей станции, создаём беспарольного, локального пользователя student, и режем ему права по самые помидоры и пользователя admin - с правами админа. В винде широчайшие возможности запретов/разрешений пользователю, которые доступны через реестр, вплоть до белого листа разрешённых программ и действий. Более подробно, можно ознакомится в гугле или в книге "Секреты windows 7 для профессионалов".
Ну и в заключение - всё вышеописанное, это дикие костыли, которые городят во многих учебных заведений, в силу нехватки квалификации и времени. Это далеко не лучший путь, чертовски трудозатратен сопровождении и разворачивании, но он работает. Если всё-таки пойдёте этим путём, то стоит подумать об изучении wshell, cmd и powershell ибо в условиях подобных рабочих групп, даже такая рутинная операция, как создание нового ярлычка на рабочем столе, выльется в сущий ад, без автоматизации.