Terminalserver - Benutzerrechte einschränken

Ich probiere gerade in meiner Testumgebung rum:

Die User sollen sich auf dem Terminalserver anmelden und keine Möglichkeiten haben etwas umzustellen.
sprich

- kein Zugriff auf Arbeitsplatz, Netzwerkumgebung,....
- Task-Manager gesperrt
- kein Herunterfahren möglich
- etc.

Das war alles kein Problem.

Einzigst sollen sie Programme starten können, welche auf dem Destkop per Verknüpfung hinterlegt sind.
Habe das so gelöst das der Benutzer sich anmelden muß, sein Konto(also die Ordner) auf dem Server erstellt wird und ich dann im Desktop-Ordner die Verknüpfungen reinschiebe.
Finde das aber sehr kompliziert da ich immer warten muß bis sich der User angemeldet hat.

Gibt es andere Möglichkeiten ihm den Zugriff auf Programme zu gewähren ohne das man Angst haben muß das der User an dem Server etwas verändern kann?