pindschik

-Windows версии Корпоративная LTSC (а лучше и с IoT) с изначально вырезанными развлекательными компонентами, а так же с минимальными системными требованиями.
-Домен обязательно.
-В политиках запрет сетевых "шар", запрет на доступ на рабочие компьютеры по сети.
-Ограничение запуска программ, а точнее полный запрет запуска чего угодно из профиля пользователя и личных папок (через политики, запрет выполения типов файлов exe, сom, bat, cmd, PS1, scr, js и т.д.).
-Режим киоска или просто гостевые доменные учетки. При чем ученик сможет сесть со своим логином за любой комп, и даже иметь на личном сетевом диске, если нужно - нормальные, не очищаемые личные папки - например "мои документы" и "загрузки". Это может пригодиться - если предусматривается выполнение работы за несколько уроков.
-Назначенный профиль, удаление всех изменений в профиле при выходе из сеанса.
-Запрет создавать папки прямо на диске С.
-Контроль доступа в сеть на роутере - для ученических компов.
-П.О. для наблюдения за действиями и за экраном. Тут лучше платное, но на край хотя бы делать скриншоты по расписанию с помощью TightVNC (там есть возможность выдергивать по сети, не оставляя на компьютере пользователя, чтоб не подчистили).
-Антивирус, опять же лучше платный с сервером управления. Дополнительно - настройка ограничения доступа на ресурсы по типам (развлекательные, для взрослых, програмное обеспечение, игры, соцсети, насилие и т.п.)
- Предотвращение физического доступа внутрь и вмешательство в процесс загрузки (вскрытие корпуса, сброс BIOS, вход в BIOS, загрузка с флешки, выбор опций загрузки и загрузочного устройства).
-Административные меры (правила, расписки, инструктаж).

Как пост-средство - готовый образ системы, именно под вашу конфигурацию оборудования. С драйверами и всем нужным П.О. Даже если умудряться сломать - разворачиваем готовую чистую за 5 минут.

Много, да, но вполне решаемо на уровне обычного сисадмина.
И вопрос нельзя решить просто с помощью "волшебной версии Windows"...

На данной материнской плате 5 разъемов m.2
При чем 1 шт PCI-E 5.0 х4 и 4 шт PCI-E 4.0 х4
В теории самый быстрый это 5.0, но если ваш диск не 5.0 - то реальной разницы не будет.
Только один m.2 подключен напрямую к CPU, а остальные уже к чипсету, но на Интел падение производительности при подключении "через дупло" крайне малое. Вот на АМД с этим похуже дела...

Однако есть нюанс, и возможно следует предпочесть именно 4.0:


Если есть видеокарта - терять х16 в угоду SSD крайне нежелательно

Яндекс-браузер - так и ставится в профиль пользователя. А поставить его крайне настойчиво предлагает сам Яндекс при посещени поисковика...

С AppLocker есть проблема легкого обхода, тут даже на хабре были статьи. Плюс там надо делать хэш, а это значит что даже Хром и Edge при каждом обновлении будет выпадать из белого списка...
Тем не менее - этот вопрос решается и решение не техническое, а организационное. Запрещаете приказом, знакомите с приказом, включаете при необходимости в положение о премировании, должностную инструкцию, трудовой договор.
Потом делаете аудит и снижаете премию пойманным, с публикацией приказа внутри организации, чтоб остальным было неповадно. Рецидивистам делаете дисциплинарные взыскания и увольнения. И проблема решается - пусть и не техническими методами. В том числе с кадрами типа "ой, а оно само, я ничего не делалала, я в этом ничего не понимаю".

Не очень хорошо, но можно сделать скрипт, пробегающий профили и всем исполяемым файлам (.exe, .com, .msi, .msp, .bat, .scr, .js, .dll), навешивает аттрибут запрет исполнения. При этом отбираете у профиля пользователя полные права на файлы профиля (только в разрезе смены прав и выполнения), и удаляете права для создателя файла. Потребуется немного в политиках объяснить системе, что без полных прав тоже приемлемо. Тогда скачать они смогут, запустить нет. При этом нужно запрещать создание папок на диске С и запрещать исполнение файлов на других сетевых ресурсах.
Можно поиметь проблем с совместимостью с ПО, надо тщательно тестировать.

Отключать проверку пароля на уровне сети - крайне опасная затея. Т.к. терминальная сессия становиться доступна без пароля и соответственно все уязвимости доступны злоумышленникам в полной мере. Особенно если она "светит" наружу.

Система напоминает о скорой замене, по умолчанию за две недели, но многие пользователи обладают выборочной слепотой и не видят уведомление. Попробуйте настроить скрипт рассылки ИМ писем, когда пароль заканчивается и что его пора сменить. А для особо запущенных случаев, если не хотите, чтоб каждое утро у вас начиналось со смены паролей - есть жестокий способ - при обращении пользователя меняйте ему пароль, но на серийники от Windows XP или что-то подобное. После пары вводов такого пароля - они сразу и резко научаются их менять и перестают забывать (кроме отпусков).

Еще не забывайте про утекшие пароли, через которые вам однажды занесут шифровальщика. Раньше такой проблемы не было, сейчас она очень острая. При чем атаковать вас будет не вирус, а человек оборудованный головным мозгом. Поэтому на внешних терминалах обязательно прикручивайте двухфакторку. Тот же MultiOTP бесплатен, и умеет дружить с Active Directory. А на смартфоне он совместим с кучей программ, вплоть до Google Authenticator.
Уж если вам так хочется решить проблему паролей - сделайте их бессрочными, разрешите сохранять на клиентских устройствах, но оставьте проверку одноразового ПИН-кода из аутентикатора.
Тогда пользователь при подключении введет пароль, поставит галку "сохранить", а дальше будет заходить фактически только по ПИНу, украсть который нереально (ну пока что).

З.Ы.
По возможности завязывайте с серверами 2019, 2016, 2012 и т.д. Сейчас актуален 2022. На 2019 уже начинается "проблема Windows XP".

Попробуйте ставить систему, загрузившись с дистрибутива не в режиме UEFI. а в режиме BIOS (выбирать целевой способ загрузки горячей клавишей при старте BIOS, например). Это неправильно и небезопасно, но иначе получите создание отдельного шифрованного раздела.
Способ разметки диска должен быть MBR.
А потом пробуйте по той же инструкции, по которой ставили семерку на один раздел вместо двух.

Но вообще если это только ради удобства снятия образа, то затея сомнительная. Сейчас достаточно инструментов хорошо оперирующих разделами и позволяющими снимать и разворачивать образы чего угодно. Например Image For Windows - простой, но очень надежный инструмент (и есть на популярном LiveCD AdminPE).