грамотные админы с установками делают не так. И есть несколько путей.
1. Собирается пачка популярного софта, она деплоится в Software Center и политикой распространяется на юзверей. Из этого пакета ПО устанавливается без админ прав любым пользователем. Следить за обновлением небольшой группы ПО не трудно.
2. В частном случае админ подключится и установит все сам, с графикой или без видимых действий для пользователя. Например по psexec. Или так же политикой установит нужный софт на нужном компе.

Шифрование диска с хранением ключей на контроллере защитит от загрузки со стороннего носителя.