特定のOUでウェブストア自体へのアクセスを禁止し、管理者が選んだアプリのみを許可できるか。

アプリのインストール設定で「ウェブストアへのアクセスをブロック」し、許可リストを運用します。