Lo mas facil, que sus usuarios sean solo "User" y no "Computer Administrator".
Eso se cambia en el grupo de seguridad a la que pertenece el usuario, solo le agregas "User" y le quitas "Computer Administrators" y ya, no podra instalar programas porque no tiene los privilegios necesarios para hacerlo.
Ahora lo que pasa que nadie hace lo que indique anteriormente, porque? Porque la mayoria de programas (o mejor dicho los programadores) no tienen el buen habito de que sus programas usen los perfiles de usuario. Y se da el caso que cuando cambias un usuario de administrador de la pc a usuario normal (ojo, no digo cuentas invitado, esas son otras y ni microsoft recomienda usarlas) algunos programas dan el gran error, y eso se debe a que el programa quiere escribir o leer en algun lado y como ya el usuario que ejecuta el programa no tiene privilegios suficientes da el error.