Bloquear instalação de usuário Administrador local

[HazorZiN]

Galera, é o seguinte, tenho um cliente que preciso bloquear a instalação dos programas pelo servidor, pois já tirei as máquinas como administrador e o sistema deles, precisa ter acesso de administrador local se não o sistema não funciona. Alguem sabe alguem maneira de bloquear todo tipo de instalação nas máquinas via GPO? Eu fiz um bloqueio do Windows Installer e do msiexec.exe, fiz o teste de instalação com o Skype(bloqueado);CCleaner, Malware, firefox (tudo liberado). Alguem poderia me ajudar?