Active Directory - hvordan kontrollere om brukeren kan inst prog

Hvordan kan man kontrollere om brukeren kan installere programmer på workstations, eller ikke, i et Microsoft Active Directory nettverk ? (Under Windows 2003 domenekontroller.)

Hvordan kan man eventuelt kontrollere at visse programmer kan kjøre mens andre ikke kan kjøre ?

Hvis man velger noe slikt som "default active directory user" som sikkerhetspolicy, vil brukeren (den ordinære brukeren) da kunne installere programmer på sin desktop, eller kan han det ikke ?

Er ikke spesielt bevandret i Windows 2003 server, eller Active directory problemstillinger, så jeg vil bli glad for all info som leder til en litt bedre forståelse.

MVH Langbein.