Виктор

ForceBindIP - "погуглите"... Может поможет, но только если у вас несколько сетевых адаптеров.

PowerShell Вам в помощь. Читаем ТУТ и ТУТ, а также ТУТ

Как я понимаю "папки чертежей и софта" находятся на некотором файловом сервере? Что тогда мешает включить на нем Access-based Enumeration(читаем ТУТ) и не мучаться? Потом просто подключаем корневую папку шары всем пользователям как сетевой диск и видимость/доступ папок регулируем с помощью NTFS разрешений(т.е. создаем группу в домене, ей назначаем права на папку и пользователей уже добавляем в эту группу).

Главный вопрос: Зачем Вам контроллер домена? Или просто так интересуетесь возможными проблемами?
Проблемы могут возникнуть различные....например:
1. Всевозможные "сборки" Windows, которые могут вообще не ввестись в домен или ввестись некорректно.
2. Наличие у локальных пользователей прав администратора и других различных "разрешений"(NTFS, на ветки реестра и т.п.).
3. "Зоопарк" версий Windows на компьютерах
4. Рассадник вирусов на ПК
5. Фиг знает как настроенный брандмауэр да и настроенный ли вообще.
6. Невозможность(сложность) применения групповых политик из-за пунктов 1-5...
7. Несанкционированное установленное ПО на ПК, которое уже имеет все необходимые права...
Ну и многое другое....
P.S. Как по мне проще произвести "голую" установку системы и доставить пользователю уже необходимое ПО + вернуть ему все его файлы.
А так еще много вариантов всего сразу и не вспомнишь.

Можно конечно... вопрос только зачем?
Создаем BAT-файл с таким содержимым:

Set ApplicationPath="D:\program.exe"
cmd /min /C "set __COMPAT_LAYER=RunAsHighest && start "" %ApplicationPath%"

И уже этот BAT-файл запускаем с помощью runas /user:Администратор "Путь к БАТнику"
Только использовать именно встроенную учетку Администратора. Пользователь состоящий в группе "Администраторы" не подойдет(у меня не сработал).
А вообще можно почитать ТУТ и ТУТ

1. Запретить в BIOS загрузку со сменных носителей(USB и т.п.).
2. Обязательно задать пароль на встроенную учетную запись "Администратор", даже если она не используется и выключена.
3. Отключить "Восстановление системы" или удалить точки восстановления, а то возможен "сюрприз".
4. Запретить флешки на запись/чтение в Windows если это не мешает учебному процессу. Например в папку "Windows\tracing" можно скопировать любые файлы без прав администратора и соответственно... ну да Вы поняли))
5. Если есть выход в интернет, то запретить установку расширений в браузер... Я бы использовал Chrome и ограничил его возможности через GPO.