Если компьютер не в домене, то политики тут не помогут, т.к. не выйдет использовать разные User Configuration для локальных пользователей (в домене пользователей можно разнести по разным OU).
Зачит, остаются твикеры, причем лучше записывать, что и каким меняли. Чтобы пользователь не менял параметры из твикера (те, на которые ему хватит прав), можно использовать разрешения на ветки реестра HKCU пользователя.
Это все муторно :)
Еще вариант: поскольку политики - это только содержимое папки %systemroot%\system32\grouppolicy, просто создайте два sfx-архива, один с содержимым этой папки при настройке под админа, второй - с "завинченными гайками", действие после распаковки пропишите gpupdate.exe /force
Т.е. сначала делаем такой архив с содержимого папки политик по умолчанию, затем запускаем gpedit.msc и правим все под пользователя и делаем второй sfx-архив.
Когда отдаете ПК пользователю, запускаете (run as...) sfx-архив пользователя, он распакуется и затрет содержимое папки политик, команда gpupdate /force применит новые политики. Когда вам понадобится все, что вы прикрыли, запустите от админа свой архив :)