Kiosk-PC User dürfen gar nichts ausser 1 Prog. öffnen

Hallo,

ich muß einen XP-Rechner (stand-alone) so konfigurieren, das bei Anmeldung eines User dieser gar nichts darf. Ausser 1 Programm öffnen mit dem eine Videoüberwachung läuft. Er soll nur dieses Icon auf dem Rechner sehen sonst nichts. Beim Herunterfahren soll er auch nur die Möglichkeit haben "STart + Herunterfahren" zu sehen und auszuwählen. An die Systemsteuerung, bzw. anderen Einstellungen soll er natürlich auch nicht. Mit MMC und snap-in Gruppenrichtlinien könnte ich das zwar realisieren, aber was ist dann mit dem Administrator. Die Einschränkungen für die Benutzerkonfiguration gelten ja dann auch für ihn.
Weiß jemand weiter??

Danke
Rainer