Hay algunas maneras sobre hacer esto. La primera manera sería un GPO asignado a sus usuarios del dominio. La segunda manera sería volver a dirigir a los usuarios de escritorio a una localización de la red en donde tienen solamente acceso leído. La 3ro manera sería crear un perfil manditory que todavía permitirá que el usuario salve archivos a la mesa, pero una vez que han apagado todos los cambios realizados serán reajustados a los defectos.
Hechar una ojeada esta red social de la tecnología para que las referencias y los pasos creen un GPO para bloquear la restricción de escritorio.
http://social.technet.microsoft.com/Forums/en-US/winserverGP/thread/042a06f5-bf36-48ae-b982-77cd75f56cabEsperar que esto ayude.