Роман Безруков

как минимум, сервисной учетке ADFS нужны права Logon-As-A-Service

версии сертификатов NAP NPS и VPN_USER какие?
емнип - ADCS Web Enrollment не развивается со времен Windows Server 2003 и не умеет показывать шаблоны Version 3 (CNG), поэтому либо запрашивать такие серты через консоли Сертификаты-Локальный компьютер (certlm.msc) или Сертификаты-Текущий пользователь (certmgr.msc), либо через certreq/certutil, либо пилить собственный Web Enrollment...
P.S. ну и еще проверьте права в шаблоне, чтобы все, кому надо этот сертификат, имели права Enroll

How to Restore Domain Controller From Backup?
Restore a virtual domain controller

To properly restore the DC, you must start the DC in DSRM, not normal mode. If you miss the opportunity to enter DSRM during system startup, turn off the DC's VM before it can fully start in normal mode. It's important to start the DC in DSRM because starting a DC in normal mode increments the USNs, even if the DC is disconnected from the network

Как поменять IP-адрес у КД (первая страница результатов поиска в гугле):
раз
два
три
Проверяйте, что вы не сделали при восстановлении или сделали не так

P.S. При наличии, как минимум, еще одного живого КД проще и быстрее поднять новый КД, чем восстанавливать из бэкапа. Если КД единственный - тогда все, как описано выше.

Лучше создайте отдельную сервисную УЗ и наделите необходимыми правами (как минимум - Logon As A Service)
из описания New-Service:

-Credential
Specifies the account used by the service as the Service Logon Account.

самые высоконагруженные папки

по каким критериям - количество одновременно открытых файлов, количество обращений пользователей, дисковая очередь и т.д.?

нагрузки на диск

раз упоминается NAS, то, скорее всего, у вас организован какой-то дисковый массив (возможно, и не один), соответственно, ваши папки физически могут размещаться на нескольких дисках...

Можно для анализа работы проделать следующие действия (не обязательно проделывать все действия):
- посчитать количество файлов и размер папок;
- посчитать IOPS, учесть размер блока;
- посчитать количество открытых SMB-сессий;
- посчитать количество открытых файлов и т.д. (Как найти и закрыть открытые файлы в сетевой папке...);
- настроить счетчики производительности дисков и собрать данные за неделю, например;
- на основании полученных результатов сделать какие-то умозаключения

P.S. а DFS тут вообще зачем?

Как можно решить эту задачу? (получить права пользователей на объекты, при этом пропустив объекты для которых права отсутствуют)

штатными средствами - например, CMD и/или PowerShell

# экспорт ACL в файл рекурсивно, с игнорированием ошибок доступа
# в файле будут относительные пути, и для каждого указаны текущие разрешения в формате SDDL
icacls "yourpath" /save C:\somepath\acl.txt /t /c

то же самое на PowerShell

# запрос ACL рекурсивно, с игнорированием ошибок доступа
# на выходе список с абсолютными путями и SDDL, можно экспортировать в CSV-файл
Get-ChildItem "yourpath" -Recurse -ErrorAction SilentlyContinue | Get-Acl | fl @{"N"="ObjectPath";"E"={($_.Path -split "::")[1]}},sddl

Хочу принудительно поменять настройки для УЗ (адрес, саму УЗ, пароль)

ну, это равносильно смене УЗ и/или добавлению новой УЗ. Если вы упражняетесь с одной и той же УЗ - то через удаление и добавление.
Смена пароля в мобильном Outlook делается через сброс УЗ (Reset Account). Еще, как вариант - зайти на телефоне в OWA и поменять пароль там.
Смена основного адреса отправителя (Primary SMTP Address) через клиента даже в десктопном Outlook не делается. В десктопном Outlook и OWA можно включить показ поля "FROM" для новых сообщений, чтобы выбрать подходящий адрес отправителя (если у вас их несколько и/или есть необходимые права). В мобильном Outlook такой фичи не припомню.

по старому внешнему домену никак не связанного с AD

видимо, перешли на Exchange как раз для того, чтобы их связать
там так-то дофига делов (естественно, это все описано в документации и разных блогах) - если кратко:
1. создается Accepted Domain
2. настраивается адресная политика
3. настраиваются нужные записи во внешнем и внутреннем DNS
4. устанавливаются сертификаты для служб (SMTP, IIS)
5. меняются URLы сервисов Exchange
6. способ публикации Exchange в интернет - тут тоже пачка вопросов

Обычно это все делается параллельно, т.е. в Exchange делаются все необходимые настройки, добавляются нужные DNS-записи, сертификаты и т.д., а в день/час X (обычно выходные дни) меняются MX-записи

По-хорошему - нанимайте специалиста, который вам настроит Exchange как надо, но будьте готовы отвечать на его вопросы по ходу...

как утверждается в Patch Megathread - обновы KB5041578 (Windows Server 2019) и KB5041160 (Windows Server 2022) ломают работу Item-level targeting (неактивен User in group)...При этом для 2019 якобы было сломано еще в июльских обновлениях...
Но - проблема затрагивает только GUI, через PowerShell все работает как надо

на доменных NTP-клиентах указывается тип NT5DS
1. на КД (обычно это эмулятор PDC) поднимается NTP-клиент, который ходит за временем до надежного источника в сети (например, до сетевой железки или до внешних источников времени) - вот тут в настройках клиента указывается тип NTP;
2. на этом же КД (PDCe) поднимается NTP-сервер, который раздает время клиентам в домене - и на доменных клиентах указывается тип NT5DS, в том числе и на остальных КД