windows是有用户权限的，可以把用户加入到user组，这个组是受限的不能修改系统配置的，但是不代表不能装软件，绿色软件等可以仍然使用，AD据我所知是没有直接的“禁止安装程序”这种功能的
如果想控制完全不能安装程序一般需要第三方的管理软件，因未实测就不推荐了，如果需要控制某个软件的安装使用，AD是有这种策略的，但是只能针对一个版本
http://technet.microsoft.com/zh-CN/library/cc739214可以参考一下，不过老实说微软的文档一向很烂
此外，变通的方法可以用限制修改注册表实现，不过这并不是通用做法，有可能影响正常使用
至于怎么把域用户加到user方法就很多了，可以手动加，也可以用脚本加，要看具体情况