Tu les mets dans un groupe spécifique, qui s'appellerait "Utilisateurs-Restreints" par exemple.
Sur les partages, tu refuses l'accès à ce groupe.
Dans ton AD, tu fais une OU avec ces utilisateurs dedans, et tu actives un maximum de GPO pour les empêcher d'accéder aux favoris réseaux, etc.
Bref, tu fermes tous les tuyaux possibles.