AD: user, ki bi imel install pravice, a ne branja drugih map

Obstaja v M$ Aktivnem imeniku, kakšen način, da določis eni skupini
tako vrsto privilegijev, da sicer imajo možnost instalirat stvari na PC in
kakšno nastavitev popravit, ne pa brskat po MyDocuments od ostalih userjev ?

Npr. da ne bi spadali v skupino Administrators, ki to oboje lahko dela,
ampak bi imel samo dovolilnico za install.
BackupOpertaors so naprimer ravno obratni: ne morejo instalirat, lahko pa
brskajo po vseh fajlih.