Ну не совсем костыльно. Тут и ряд преимуществ есть.
Если словят вирус по уязвимости флеша или браузера, то словит его только терминал. Вынос сервера rapp в изолированную зону будет гарантировать сохранность вашей сети. Да и восстановить бразуер-машину с бэкапа дело нескольких манипуляций. С поиском и удаления зловреда тоже. Компы пользователей будут работать шустрее, ибо сто пицот вкладок будут открывать не у себя на компе.
Доступ к файлам прозрачно: через GPO выносим папку Документы, Загрузки (любую другую) на сервер. При подключении пользователь на сервере rapp увидит именно свою папку с документами, соответственно все что он скачал будет на его компе тоже.