главное, что позволяют политики - это запускать любой скрипт при логине пользователя на машину. Все прочее можно делать инсталяторами(и права на ветки реестра менять в том числе), которые умеют заворачивать команды в msi, который в свою очередь через те же групповые политики публикуется в домене с автоматической или ручной установкой.