Как реализовать ограниченного администратора в Windows?

Спасибо, этот ответ мне понятен. Думал, может быть есть какие-то решения на грани черной магии — уровня ядра и так далее.

Как максимально ограничить доступ к файловой системе?

Там нет такого объекта. Есть только CREATOR OWNER, SYSTEM, Administrators, Users. Однако зашел в Advanced и нашел для группы Users выставленные права «Create folders / append data» и «Create files / write data». Убрал их, теперь пользователи и гости не могут создавать ничего в корне.
Непонятно только почему гость-то мог? Его в правах и не было.