Разрешения клиентского доступа RDC

У меня возникла неприятная проблема с настройкой WIN2008R2-сервера в качестве TS-сервера.
По сути, у меня все готово и работает, и я протестировал возможность подключения клиентов RDC, которые я добавил через gpedit.
Вот в чем проблема;
Я только хочу, чтобы клиент RDC имел доступ к своему рабочему столу на сервере, чтобы запускать приложение и редактировать файлы, размещенные на этом рабочем столе.
Однако он может просматривать весь сервер, иметь доступ к сети и запускать программы, не требующие прав администратора!
Я использую сервер и для других целей, поэтому удаление функций невозможно ...

Может ли кто-нибудь помочь мне запретить RDC-клиенту иметь доступ только к его Remote Deskop и размещенным там приложениям / файлам?

РЕДАКТИРОВАТЬ:

Сервер не является сервером AD DS, а просто автономным.

Я не планирую внедрять ни веб-доступ к TS, ни шлюз TS; просто используйте решение VPN, чтобы позволить клиентам (читающим клиентам) получить доступ к своему удаленному рабочему столу.

Могу ли я достичь цели, используя разрешение NTFS для группы пользователей удаленного рабочего стола?

Я пытался пройти через управление групповой политикой, чтобы отредактировать группу удаленных пользователей, но получил сообщение, что мне нужно войти в систему с учетной записью пользователя домена? Не настроил его как DC, не установил AD.
Как я могу отредактировать группу «Удаленные пользователи», чтобы запретить им просмотр компьютера?

Мне кажется странным, что нет более простого способа ограничить права пользователей для клиентов RDC в Win Serv 2008 ...