dunque sto cercando di capire come funziona solo che leggo che questo tipo di policies funzionano da windows 2008 e windows vista ma non sui vecchi sistemi operativi, non capisco se si riferisce al server o anche ai client, perchè io ho client che vanno da windows 2000 fino a windows vista, funzionano anche per questi sistemi operativi?

SdotNet scrive - i permessi li controlli lasciando tutti gli utenti come users in modo che non possano installare e fare modifiche sui client

si gli utenti sono tutti users, e adesso sto creando diverse OU all'interno del "MyBusiness"/"Users"/"SBSUsers/[NomeOU]

SdotNet scrive - il blocco delle applicazioni lo fai tramite le software restriction policy. trovi un articolo nella sezione dedicata a windows server 2003, che usa lo stesso sistema di 2008

Ho provato già ad operare quel tipo di blocco se non erro agiva sull'hash dei file exe ma purtroppo non funzionava

SdotNet scrive la cosa fondamentale che devi fare è di creare una policy per ogni modifica che fai....questo perchè ti permette la granularità, la possibilità di disabilitare solo quella policy e di poterla applicare alle dovute OU.

il problema è che se creo un OU tipo "Commerciali" e poi creo una policy filtrandola per l'OU specifica, però se volessi crearne una apposita per un utente solo? non posso evitare di creare un OU per un singolo utente? e poi non ho chiaro una cosa, quanti tipi di policy posso creare? oppure un utente mi ha chiesto se posso abilitargli la modifica del registro di configurazione di windows... non che io voglia abilitarglielo ma mettiamo caso che voglia permetterglielo come faccio? c'è una policy esistente o la devo creare appositamente?

Ti conviene lavorare con le Path Rule e non con gli Hash, altrimenti devi stare sempre dietro agli aggiornamenti.
http://technet.microsoft.com/en-us/library/cc781337(WS.10).aspx

il problema è che se creo un OU tipo "Commerciali" e poi creo una policy filtrandola per l'OU specifica, però se volessi crearne una apposita per un utente solo? non posso evitare di creare un OU per un singolo utente? e poi non ho chiaro una cosa, quanti tipi di policy posso creare? oppure un utente mi ha chiesto se posso abilitargli la modifica del registro di configurazione di windows... non che io voglia abilitarglielo ma mettiamo caso che voglia permetterglielo come faccio? c'è una policy esistente o la devo creare appositamente?

Le GPO posso essere linkate solo ai sites, domini e OU. Poi all'interno di una OU puoi filtrarne l'applicazione agendo sulle proprietà di lettura e di applicazione. Proprio come fosse un file.

Ciao