Hola,
Pienso que la mejor opcion seria no instalar esta herramienta en el cliente, ahora si eso es necesario, el control debe ser de windows no de sql server, ya sea utilizando las directivas de grupo, o los permisos sobre el ejecutable de las herramientas ejemplo el QA (C:Program FilesMicrosoft SQL Server80ToolsBinnisqlw.exe) denegandole el acceso al usuario o en su defecto al grupo de esos usuarios.
Tambien puedes usar en Windows 7
(AppLocker) o programas de terceros como por ejemplo Universal Shield, Lock Folder etc..
Ya que QA verifica que el usuario este autenticado, por lo tanto aun cuando crees el rol mientras el usuario sea miembro del mismo tendra los permisos heredados independientemente de la aplicacion que se utlice para accesar a la base de datos.
Espero que te sirva
Saludos
