Можно ли с помощью GPO в домене разрешить локальным пользователям (входящим в группу ПОЛЬЗОВАТЕЛИ или ОПЫТНЫЕ ПОЛЬЗОВАТЕЛИ) разрешить устанавливать и удалять программы?

Для чего это мне нужно: я админю на полставки, юзеры раньше были в рабочей группе с админовскими правами. Вирусы и прочие проблемы, как то полный доступ к папкам обменов для всех, копание пользователей в настройках винды и прочее...

Я всех завел в домен, всем урезал права, централизованно устанавливаю обновления через WSUS, закрыл шары, поднял файловый сервер с ежедневными бэкапами. Но юзерам хочу оставить одно счастие - установку программ, чтобы могли хотя бы свою любимую тему в WinXP поменять, или ICQ клиент обновить без меня.

Есть ли выход?