设置 Microsoft Intune，需要锁定计算机

Question

因此，我计划在多台 (~450) 远程计算机上安装 Microsoft Intune。这些计算机目前正在运行深度冻结，以减少人们通过安装/运行某些内容 (exe 文件、批处理文件、jar 文件、active X 脚本等) 可能对它们造成的损害。

如果有某种方法可以锁定这些计算机，使 InTune 仍能远程运行/安装东西，但最终用户却无法（可能通过编辑本地策略的注册表项/powershell 脚本）安装程序/运行与我有关的扩展，而无需某种形式的覆盖。

有人有经历过这样的事吗？

谢谢。