Su Windows, non è davvero fattibile. È possibile su linux con controllo di accesso obbligatorio (ad esempio). Così puoi avere un filtro web in esecuzione, ma il sudoer non sarebbe in grado di interferire con esso (almeno non senza un grande sforzo, potenzialmente rendendo il sistema inutilizzabile). Allo stesso tempo un sudoer può modificare praticamente tutto il resto.
Quali opzioni avrei su OS X per fare questo?
Non riesco a vedere in alcun modo che tu possa realizzare ciò senza riscrivere il sistema operativo e i modelli di sicurezza.
Il meglio che puoi fare è provare a fare affidamento su Gatekeeper e prevenire sudo dal tuo utente amministratore per questa eccellente domanda:
Non riesco a vedere un caso in cui non si dovrebbe semplicemente rendere l'utente non un amministratore e ritagliarsi un modo in cui possono fare qualsiasi cosa admin si desideri che facciano concedendo un accesso aggiuntivo e semplicemente non concedere lo stato di amministratore al utenti di cui non ti fidi.
Leggi altre domande sui tag permission root sudo