CityCat4

Нет. В этом и сила таких программ - в том, что они локально работают с файлами, загруженные с диска, флэшки, черта лысого - тогда, когда нет контроля за доступом к этому файлу.
Пригнать туда "руки" и командовать по телефону, что делать. Я так однажды FreeBSD переставлял - я был в Новосибирске, "руки" - в Омске.

В данных условиях - никак. При наличии тырнета вот чтоб совсем-совсем без запроса чего бы то ни было - VPN по сертификатам. Его правда сначала надо настроить и это не просто. Зато потом подключение буквально в один клик.

Обычно для ограничения ресурсов используют прокси. Но Вы хотите странного - AD как раз и нужен для управления всем доменом целиком. Можно, конечно прокси поставить на линух и все пустить через него - но тут вопрос - а юзера с правами локального админа или без?

Слишком много хотелок при резкой несовместимости винды и андроида. Удаленный мониторинг всего на винде возможен - это Стахановец (до 5 подключений, если не ошибаюсь, бесплатно). Реальный, полный, абсолютно полный удаленный контроль.
Насчет такого же или похожего под андроид ничего не скажу.

Многие требования - они фактически энтерпрайзные - а это совсем другие требования и цены.

Ого, сколько ссылок накидали, подпишусь-ка я на вопрос...

VNC
Для винды - RDP (нельзя сказать, что она полностью бесплатна, но если винда купленая - то уже и RDP куплена)

Никак, разумеется. Если только под "работать" Вы не имели в виду "пользователь А юзает комп, когда пользователь Б спит". Тогда это решается программой типа AnyDesk.

а ещё нельзя ставить свой софт

Это вполне нормальное требование. У нас вот тоже нельзя.

И вот в таких жёстких условиях надо организовать удаленный доступ

Это самые обычные условия работы корпоративной сети.

Кому надо? Вы админ? Или очередной умник, который хочет обойти корпоративный прокси? Если Вы не админ, очень не советую заигрывать с отделом ИБ (буде он у вас есть) или админами - в лучшем случае лишением премии отделаетесь.

IP-KVM. Но не уверен, что можно будет играть.

Никак. Винда - однопользвательская развлекательная система.

Одновременно двум работать не получится без внесения в винду "изменений" :)

Может шпионское ПО устанавливать на каждый ПК сотрудника

И подставиться под нарушение частной жизни, а то и ЦП? You are welcome. Нормальные конторы потому и дают свои ноуты домой, потому что личный комп юзера - это полнейший абсолютный харам.

Глеб, ты мировые новости читай хоть иногда :) Большой уже мальчик :) TW блокирует подключение из РФ. Вместо него можно anydesk - те же фаберже, только в профиль.

RMS

Никак. Аппаратный доступ решает все.

Для работы RDP винда тупо генерит самоподписанный сертификат и ее никак не переубедить этого не делать. Есть мануалы, где написано, что при наличии в хранилище компьютера сертификата, выпущенного по шаблону, прописанному в некоей политике - винда этого не делает, но у меня повторить не получилось - несмотря на наличие оного сертификата винда кладет на него преогромный болт и все равно выпускает свой.
Простейшим решением является тык в галочку "Доверять все равно" раз в год.

Все те же, что и раньше. ssh + mc и все такое. Кому нужен графический интерфейс на сервере? Туда ходят не игрушки играть - делом заниматься. Для которого mc хватает. Ну а когда их много и нужно что-то часто менять - навешивают автоматизацию, ansible например.