Kommandozeile mit LW-Restriktion. Geht das? Wer weiss etwas?

Hallo zusammen,

für einen Schulungsraum der von mir betreut wird ergab sich folgende Aufgabenstellung:

Auf den PCs (XP SP2) mit Authentifizierung über zentrale AD mit entsprechend gesetzten GPOs soll ein Programm installiert werden
das jedoch kein GUI beinhaltet und die Kommandozeile benötigt.

Die Maschinen sind via GPO so konfiguriert:

A: Der Benutzer LW C:\ (System dh. die reine Window-Installation) im Explorer gar nicht sieht...
B: Der Benutzer LW D:\ (Progs, hier sind nur die Applikationen drauf) zwar sieht aber "Access denied" bekommt wenn er es klickt.
C: Der Benutzer LW E:\ (Das Benutzerlaufwerk, hier kann jeder alles speichern)

Die GPO verhindert das Ausführen von cmd.exe für Domänenbenutzer.
Diese wird jedoch benötigt von dem Programm (gawk.exe Quelle: hxxp://gnuwin32.sourceforge.net/packages/gawk.htm)
das ich integrieren soll. Nun dachte ich dass ich dies Programm auf der Partition E zunächst installiere..
So habe ich jedenfalls schon mal den Zugriff auf die Programmdateien ermöglicht.
Nun habe ich aber das Problem dass ja die cmd hierzu verwendet werden muss
Was sagt uns das? Ein grösseres Risiko gibts ja wohl gar nicht unter Win...

Jetzt dachte ich dass es vielleicht eine Methode gibt das Programm AWK mit der Shell zu verknüpfen damit es verwendet,
aber der Benutzer trotzdem in der Shell keinen Access auf C und D bekommt... Wie kann ich das machen?
Das Problem ist, dass der User natürlich alle anderen Progs so benutzen kann wie immer.. nur eben mit der Option die
cmd für den bestimmten Zweck auch nutzen zu können.
Hat jemand eine Idee? Ich möchte dem der den Kurs gibt, ungern mitteilen dass ich ihm die Soft nicht für den Kurs
ausrollen kann wegen Sicherheitsbedenken.. Aber was kann ich machen?

Danke für Anregungen und Tipps!

Gruesse

Chris