read-only pulpit w profilach lokalnych w AD2k3

Witam!

Chcę zapobiec przykrej skłonności użytkowników
do trzymania wszystkiego co tylko możliwe na
pulpitach, przy czym profile są lokalne
a moje dokumenty przekierowywane na serwer.

Pulpit zatem też jest lokalny na pececie.

Jak to ugryźć elegancko i uniwersalnie
ale bez mandatory-profile bo chyba nie da się
tego na tyle zmodyfikować żeby tylko pulpit chroniło?

Najlepiej coś w stylu odebrania uprawnień
na zapis i modyfikacją na pulpicie...

Skrypty startowe/logowania? czy jak?
Przy czym to musi też działać dla
nowo-tworzącego się profilu nowego użytkownika...

-- 
.---------- --------  ------ ----  ---- --- - -- -
| Bartek `saphire` Siebab http://bartek.siebab.net