В вашем вопросе уже есть ответ.

так как нужны очень очень тонкие настройки доступа пользователей к определённым ресурсам, действиям, и тд (настолько тонкие, что даже два человека за соседними столами, в одном кабинете, не должны иметь возможности выполнять некоторые одинаковые действия).

Кто эти настройки от вас требует ваш начальник или ещё кто-то? Если начальник то вот вам и ответ, если кто-то ещё то возьмите его и обратитесь к начальнику, что этот человек объяснил все эти тонкие настройки начальнику.

Отвечаю по пунктам
1. Отказоустойчивость с одним КД быть не может. Отказоустойчивость достигается избыточностью, это когда более двух. Вам, возможно, подойдет правило - быстро поднятое не считается упавшим)))
2. Про Acronis ничего не скажу, а вот Veeam B&R Free Edition вам очень в этом поможет, он даже может гранулярно восстанавливать объекты AD
3. Встроенная майкрософтовская бэкапилка вам тоже подойдет, но не факт что после восстановления из бэкапа КД нормально заработает, а вот с Veeam B&R Free Edition все прекрасно заработает - проверено на личном опыте.
4. Если вы ограничены в бюджете делайте виртуалку с КД и второй КД поднимайте на железном ПК с минимальной конфигурацией ЦП-i3/ОЗУ-6Гб/ЖД120Гб - этого хватит, если вы на нем ничего больше ничего ставить не будете.
5. Не советую так делать - получите ошибки разсинхронизации в AD

Плюсы:
1. Единая точка управления всеми печатающими устройствами. То есть вам не надо будет ставить много раз один и тот же сетевой принтер/МФУ каждому пользователю, можно просто распространить его через GPO.
2. Сам виндовый сервер управления печати не умеет собирать статистику, но есть специализированные программы для этого, и некоторые даже бесплатные и с хорошим функционалом.
Минусы:
1. Если вы не будете делать кластерное решение, то это будет единая точка отказа.

Учёт использования подключенных локально (по USB) принтеров к компьютеру через сервер печати без установленного на ПК пользователей клиентского приложения невозможен.

XPS не рекомендую использовать, лучше родные дрова для каждой модели подбирать. Работать всё будет на порядок быстрее.

В подсистеме печати windows существует функция автоматического failover-a, т.е. при недоступности сервера печати документ отправится напрямую на принтер - да только эту функцию ещё включить надо для каждого устройства.

А по поводу филиалов и общего сервера это извращение, лучше в каждом филиале создать свой сервер управления печатью и них снимать нужную вам инфу.

Итак если я все правильно понял вам надо перенести ВМ с контроллером домена в другой офис по существующему каналу VPN. Мне видеться два пути:
1. Перенести ВМ при помощи встроенного в vCenter механизма vMoution
2. Перенести при помощи Veeam - там есть схожий механизм Quick Migration
Еще пару замечаний
1. Все работы лучше проводить во вне рабочее для вашей конторы время и предварительно сделав БЭКАПЫ
2. Перенос ВМ контроллера домена лучше совершать в выключенном состоянии.