Роман Безруков

Запилить установку zabbix-агента через GPO не вариант?
P.S. а что сделает скрипт, если комп включен и агент уже установлен?

Драйверы принтера на сервере, к которому выполняется RDP-подключение, установлены?

Если речь про сервер терминалов, то там это ограничивается локальными и/или групповыми политиками, в том числе Software Restrictions Policy и AppLocker
И не раздавайте административные права всем подряд...

например, так:
Get-WmiObject win32_operatingsystem | select csname, @{LABEL='LastBootUpTime';EXPRESSION={$_.ConverttoDateTime($_.lastbootuptime)}}
или
Get-CimInstance -ClassName win32_operatingsystem | select csname, lastbootuptime
или
Get-ComputerInfo | fl csname,oslastbootuptime

можно дергать системные журналы на предмет следующих событий:
1074 - System has been shutdown by a process/user
6005 - The Event log service was started
6006 - The Event log service was stopped
6008 - The previous system shutdown at time on date was unexpected
6013 - The system uptime is number seconds

Get-WinEvent -FilterHashtable @{logname = 'System'; id = 1074} -MaxEvents 3 | ft -wrap

Первоисточник

У вас имеется домен - почему не используете GPO для этой задачи?

Процессор: Intel Xeon E3-1220 v6 OEM

сомневаюсь, что вы далеко уедете на четырех ядрах

Первый контроллер домена поднимайте на железе, второй - можно виртуальный
Касперский может управлять обновлениями Windows, поэтому от WSUS можно отказаться

winKnocks

Как всё это можно автоматизировать?

например, PowerShell и Power Automate

Отключаете политику (т.е. разрешаете множественные сессии для пользователя) и выполняете стандартную установку служб удаленных рабочих столов (в мастере ролей сделали отдельный пункт для этого).
В RDS есть специальная роль - RD Connection Broker, которая ведает подключениями пользователей непосредственно к серверам удаленных рабочих столов (RD Session Host). При входе пользователя брокер проверяет существующие сессии для этого пользователя. Если сессий нет - создаётся новая, если есть - подключает к существующей. В вашем случае с учётом настроенной политики будет именно так.
В инструкции, которую Вы использовали для настройки, эта роль не устанавливается (т.е. настройка RDS не полная, но она подходит для определенных случаев эксплуатации)

Windows Server 2019 Standard - минимум одна 16-ядерная лицензия либо две 8-ядерных лицензии (конечная сумма одна и та же)
Windows Server CAL - 25шт - обычные пользовательские лицензии на доступ к серверу
Windows Server RDS CAL - 25шт - пользовательские лицензии на доступ к службам Remote Desktop Services

1. Не сломал/сломаю ли я что-нибудь таким способом?

Нет. Архивацию можно выключить/включить в любой момент.

2. Судя по всем признакам (см. "Что имеем"), архивы были

покажите вывод Get-Mailbox -Identity mailbox | fl MailboxLocations ?
Cама архивная БД вообще живая, т.е. объект с таким GUID (cb90bc8c-2324-4868-a899-93428234f90d‎) существует в AD?
Как включался архивный ящик и назначалась ли при этом архивная БД?

$DisabledUsers = (Get-ADUser -filter {enabled -eq $false} -Properties displayname | select displayname).displayname
foreach ($User in $DisabledUsers)
{
    $FolderPath = "C:\Obmen\Операторы\$User"
    If (Test-Path $FolderPath)
    {
        Move-Item -Path $FolderPath -Destination "C:\Мусор" -Force
    }
}

Использование обратных зон в современных приложениях

Настраивайте раздел User Profile Disk в свойствах Remote Session Collection на брокере