BillyPluto

Я так понимаю, что речь все-таки про контроллеры домена.
Ваш "основной" КД синхронизируется с Azure AD через Azure AD Connect. Сделать, как вы хотите, можно. Только на втором, "резервном", КД Azure AD Connect будет работать в Staging Mode. И, при необходимости, сервера можно переключать

Раз у вас есть AD, вы можете добавить специально созданные AD группы в группу локальных администраторов на нужных вам компьютерах через GPO.
По умолчанию администраторами всех машин является группа Administrators в AD, в которую опять таки по умолчанию входят Domain и Enterprise Admins.
Также не стоит забывать, что изменение членства в AD группах применяется не после добавления чего-то в группу, а только после обновления соответствующего TGT тикета (релогин, klist purge или после обновления по таймеру).

И последнее - установка ПО требует elevated сессии (запущенной из под администратора)

написать бинарь например на го, который за кредами лезет куда то в удаленный волт по хттпс, там же берет список разрешенного ПО (например список исполняемый файл-хэш), и запускает от имени локального администратора.
логику накрутить можно абсолютно любую. это будет практически сервис каталог управляемый.
либо воспользоваться коммерческим продуктом.

Можно ходить за паролем на какой-то внутренний ресурс с ограниченным доступом
Можно удаленно создавать задачу в планировщике и запускать ее немедленно.
Можно поднимать удаленную сессию PowerShell (New-PSSession, Invoke-Command и т.д.).
Можно использовать GPO для установки ПО.