Script per modifica gruppo/utenti

[Alexander_22]

Ciao ragazzi,
ho un problema su diversi pc.
Ho appunto una cinquantina di pc con un Domain Controller nuovo di zecca.
Ho configurato le varie policy per far in modo che gli utenti non facciano danni installando/disinstallando applicazioni a loro piacimento.
Mi sono accorto però, che tutti riescono ad installare programmi con l'utenza di dominio.
Dopo varie ricerche mi sono accorto che il problema è dato dal fatto che nel gruppo Administrator locale è inserito l'utente di dominio.

Come posso fare per eliminare dal gruppo Administrator del computer locale l'utenza di dominio senza farmi il giro su tutti i pc?

Avevo pensato a una specie di script da mandare su tutti i pc al momento dell'accesso ma non so da dove cominciare.
Meglio ancora sarebbe se ci fosse una policy che impedisce agli utenti di installare programmi anche se l'utente è nel gruppo Administrator.

Confido in un VS aiuto.

Grazie.