Hallo auch,
eine Domäne würde Dir bei 25 Rechnern wahrscheinlich durchaus Vorteile bringen, aber das konkrete Problem nicht lösen.
„irgendwie einschränken“ ist ein wenig zu nebelig. „Ich möchte mich irgendwie fortbewegen“ reicht auch nicht um Dir eine Gerätschaft zwischen Sportschuh, Trittroller, Dielsellokomotive und Ferrari zu empfehlen.
Eine praktikable Lösung, einem Konto ohne Ab- und Anmeldung „einfach mal schnell“ ein paar Rechte zu geben oder zu nehmen gibt es unter Windows nicht. Stichwort „Security-Token“ in der Doku weist Dir die Wege, wenn Du es genau wissen möchtest.
Ich veruchs mal mit einem Schnellkursus in Windows Rechtervergabe (lokal, keine Domäne)
* Man bekommt Rechte sinnvoller Weise durch Zugehörigkeit zu einer Gruppe. Auf einer Windows 2000/XP ohne Domäne gibt es vier Gruppen: Administratoren (dürfen gar alles), Hauptbenutzer (dürfen fast alles) und Benutzer (dürfen ein wenig was), und Gäste (dürfen garnichts). XP kennt auch noch noch einige „Operatoren“ Gruppen, die liegen irgendwo dazwischen.
Details zu einzelnen Rechten (es gibt einige hundert davon …) und Listen, welche der vorhendenen Gruppen nun per Default welche Rechte hat, und deren historisch gewachsene „Details“ (na wer darf denn nun einen Druckertriber für einen lokalen Drucker installieren, wenn Windows einen signierten Treiber mitbringt, der aber nicht passend ist, und man einen neueren, funktionierenden, aber leider nicht signierten Treiber aus dem Internet hat) bitte selber nachlesen.
Und dann nochmals darüber nachdenken, ob der „Sicherheitsgewinn“, der mit einer massiven Einschränkung bei der Benutzung der Maschine (aus der Sicht von jemandem, der es bisher gewohnt ist, vollen Zugriff auf so ziemlich alles zu haben) verbunden ist, tatsächlich einer ist, oder nur ein Hirngespinst im Zeitalter einer ziemlich hysterisch geführten Sicherheitsdebatte.
* In der mächtigen Gruppe „Administratoren“ sitzt per Default nur der „Administrator“, und der darf alles. Man sollte von dem Konto tunlichst die Finger lassen, man braucht es zur Fernadministration und zum Einstieg im Notfall. Dem Konto „Administrator“ also Rechte wegnehmen wollen ist ein Schuss nach hinten.
Wenn die bestehenden Benutzer alle Administratoren sind heißt das, dass sie entweder sich alle als „Administrator“ anmelden, oder dass jeder ein anderes Konto benützt, das der Gruppe „Administratoren“ hinzugefügt wurde. Trifft ersteres zu musst Du in den sauren Apfel beißen und auf jedem Rechner für jeden Benutzer ein Konto anlegen, und die Benutzerumgebung (Einstellungen und Dateien) vom „Administrator“ Konto auf das neue Konto kopieren, sonst gibt es wahrscheinlich Knatsch mit den Benutzern, weil neue Konten was Daten und Einstellungen betrifft immer bei null beginnen. Stichwort: Benutzerprofil von einem Benutzer auf einen anderen Benutzer kopieren (–> Anleitungen im Internet lesen). Trifft zweiteres zu, hast Du Glück.
Wenn jeder Benutzer nun sein eigenes Konto hat (oder jede Computer ein neues Konto z.B. „MeinUser“ - wenn Du nur ein einziges Konto auf allen Rechnern haben willst) musst Du entscheiden, ob Du Deine Sicherheitsbedürfnisse dadurch befriedigen kannst, dass Du das Benutzerkonto „MeinUser“ in eine der vordefinierten Gruppen (Außer Administrator) packst, deren vordefinierte Rechte Dir gefallen. Wenn ja, prima. Wenn nein, hast Du zwei Wege: Du gibst dem Konto „MeinUser“ genau die notwendigen Rechte, oder Du arbeitest mit einer eigenen Gruppe „MeineLokalenBenutzer“, Mitglied: „MeinUser“, der Du Recht für Recht genau die gewünschten Rechte gibst, oder Du verwendest eine der bestehenden Gruppen und veränderst ihre Rechte. Stilistisch einwandfrei und zukunftssicher ist die Lösung mit einer eigenen Gruppe.
Bei 25 Maschinen istd as auch von hand problemlos zu machen.
Du kannst es aber natürlich auch automatisieren. Entweder, wenn Du des Scriptings mächtig bist, über den Windows Script Host (WSH), und die WMI Schnittstelle, oder „zu Fuß“ per Stapeldatei, die Du dann einmal auf jedem Rechner als Administrator laufen lässt. Sie würde dann in etwa so aussehen:
rem setzte dem Admin Konto ein neues Passwort
net user Administrator xxxxxxxx
rem mach ein neues Konto mit Passwort
net user MeinBenutzer xxxxxxx /add
rem mach eine neue lokale Gruppe, und füge den benutzer hinzu
net localgroup MeineLokaleGruppe /add
net localgroup MeineLokaleGruppe MeinBenutzer /add
ntrights +seSystemTimePrivilege -u MeineLokaleGruppe
der letzte Befehl setzt die Berechtigungen, Details siehe hier:
http://support.microsoft.com/kb/279664/de
SOlltest Du später an den Rechten was ändern wollen: ntrights kennt den -m Parameter, damit kannst Du das aus der Ferne machen (und Du würdest dazu den uneingeschränkten „Administrator“ Account brauchen, da der angemeldete Benutzer wohl nicht das Recht hat, sich selber Rechte zu geben). Bleibt dann das Problem, dass der Benutzer sich ab- und anmelden muss damit die Rechte „greifen“.
Und dass der ganze Prozess bei einem Laptop, er sich gerade in Hindustan befindet, wo der Benutzer sich gerade einen Druckertreiber installieren muss, auf ein leitungstechnisches Problem laufen könnte, aber das ist alles auf einer anderen Ebene 
…Armin
)!