Eingabeaufforderung unterdrücken

Hallo,

ich verwende Arktur (Linux-Variante für Schulen) in Verbindung mit XP-Pro-Clients mit Domänenameldung und
lokal gespeicherten Profilen mit PC-Wächter-Karten.
Nun ergibt sich folgendes Problem:
Die Eingabeaufforderung und cmd.exe würde ich gerne für die Standardbenutzer
an den Clients sperren, um Zugriffe auf andere Clients über
die cmd.exe bzw. das Einsehen offener Ports zu verhindern.
Die cmd.exe und der Befehl "Ausführen" lassen sich zwar mit
gpedit.msc deaktivieren (genauso wie auch die cmd.exe) nur leider wird damit
der Shortcut (Windows+R) nicht geblockt, d.h. jeder Benutzer kann sich mit
dem Shortcut in die Gruppenrichtlinien (gpedit) einklinken und dort alles
für seine Sitzung wieder rückgängig machen!? Die Vorgehensweise ist also
nicht gerade sinnvoll!!!?
Ist es möglich, gpedit für bestimmte Anwender zu sperren - mir wäre es am
liebsten, wenn der lokale Admin weiterhin Zugriff auf alles hätte, nur die
anderen Benutzer nicht. Eine Alternative wäre evtl. auch das Sperren von
gpedit nur dann hätte man sich wohl selbst ausgeschlossen!?

Wäre über Hilfe sehr dankbar.