مدیریت کنترل دسترسی کاربران در Active Directory

با سلام و احترام،

ما در شرکت یک دامین با استفاده از Active Directory در ویندوز سرور 2019 راه اندازی کردیم و یک شبکه داخلی راه انداختیم.

Userها ساخته شده و به درستی به دامین متصل شدند و درحال استفاده از سیستم های خود هستند. بنده با یک مشکل روبرو شدم، میخوام به یک کاربر مشخص دسترسی این رو بدم که بتونه برای خودش نرم افزار نصب و یا پاک کنه (صرفا نصب و پاک کردن نرم افزار و نه هیچ دسترسی دیگه‌ای)، آیا دوستان راه کاری دارند برای این موضوع که فقط دسترسی نصب نرم افزار به یک کاربر داده بشه؟ ممنون از لطفتون.

و یک سوال دیگه، آیا در توسینسو مطلبی در خصوص سطح دسترسی هرکدام از گروه های built in  خود اکتیودایرکتوری وجود داره که با مطالعه اون بتونم درک دقیقی از سطح دسترسی هر گروه پیش فرض اکتیو پیدا کنم؟