Через локальную групповую политику:
Запретить пользователям установку или запуск программ в Windows 10/8/7
http://www.thewindowsclub.com/how-to-prevent-users-from-installing-programs-in-windows-7
Введите gpedit.msc в начало поиска и нажмите Enter, чтобы открыть редактор групповой политики. Перейдите к Конфигурациям компьютера> Административные шаблоны
Компоненты Windows> Установщик Windows. В панели RHS дважды щелкните Отключить установщик Windows. Настройте опцию как требуется.
Этот параметр может запретить пользователям устанавливать программное обеспечение в своих системах или разрешить пользователям устанавливать только те программы, которые предлагаются системным администратором. Если вы включите этот параметр, вы можете использовать параметры в поле Отключить установщик Windows, чтобы установить параметр установки.
Параметр «Никогда» означает, что установщик Windows полностью включен. Пользователи могут устанавливать и обновлять программное обеспечение. Это поведение по умолчанию для установщика Windows в Windows 2000 Professional, Windows XP Professional и Windows Vista, когда политика не настроена.
Опция «Только для неуправляемых приложений» позволяет пользователям устанавливать только те программы, которые назначает системный администратор (предлагает на рабочем столе) или публикует (добавляет их в «Установка и удаление программ»). Это поведение по умолчанию установщика Windows в семействе Windows Server 2003, когда политика не настроена.
Параметр «Всегда» означает, что установщик Windows отключен.
Редактировать: блокирует программы, установленные через установщик Windows. Я не знаю, как заблокировать установку программного обеспечения, кроме блокировки установщика Windows.