Vor allem in Großbetrieben hast du meist keine Zeit auf jede einzelne Anfrage eines User zu reagieren. Die einzige Möglichkeit die du dann hast ist, einen Auszubildenden einzustellen :D , oder die User mit den erforderlichen Rechten ausstatten. Hierbei triffst du allerdings wieder auf das Problem das DAU's ihren Arbeitsplatz dermaßen zumüllen, dass ein problemloses Arbeiten nicht mehr möglich ist.
Die beste mir bekannte Lösung ist die verwendung einer KaiserKarte. Dies ist eine Hardware basierte Lösung und wird meinst in Schule eingesetzt, wo am meisten Unsinn mit dem Systemen betrieben wird. Die Karte sichert Locale Festplatten, BIOS, MBR sowie die Registry.
Ein User kann nun auf seinem Arbeitsplatz machen was er will sobald der Rechner neu startet ist alles wieder so wie es Installiert bzw von der Domaine vorgegeben wurde.
Die Daten der User werden natürlich auf einen Server synchronisiert und dadurch vor der Karte geschützt.
Ist zwar ein finanzielle Frage, aber ich weiß nicht Driver, ob das mit den Rechten nur für eine Installation so 100%tig funktioniert.