自定义Active Directory策略

Question

如何通过活动目录完成以下操作：

• 禁止用户完全通过浏览/写入（甚至包括“我的文档”，“下载”和“桌面”之类的用户的）文件夹完全访问C驱动器，同时允许程序平稳运行（因为程序需要在用户目录中编写）
• 允许一组自定义程序，这些程序允许运行已安装的软件或指定某些便携式可执行文件的路径。

我们尝试了一些在线解决方案，例如阻止用户列出C驱动器，但是此选项会导致MS Office程序在启动时引发错误，并且用户仍然可以通过程序将文件写入C驱动器。