Роман Безруков

Вариант того, что если сертификат отозван, то он действительно отозван - не рассматривается я так понимаю? :-)
Уверены, что это один и тот же сертификат на проблемной машине и остальных? Thumbprint сравнивали?
Вангую, что на проблемную машину не прилетают обновления\не установилось обновление корневых сертификатов, а на остальные остановилось.

Развернуть свой CA, выдавать всем доменным компьютерам сертификаты, которые по правам смогут получать только Domain Computers.
Настроить в NPS проверку по сертификату.

Нет, нельзя.
В hosts можно прописать только записи типа A, а обнаружение домена работает через записи типа SRV.

PS А с чем связано такое странное желание? Если с тем, что вам нужно разрешать ещё и имена в интернете, то можно настроить на сервере DNS на контроллере домена пересылку на тот сервер, который разрешает имена в интернете. Либо - позволить контроллеру домена свободно рассылать запросы DNS по всему интернету - тогда он сам обратится к нужным серверам-владельцам зон, начиная с корневых (их список у него есть).

Если вам нужно ПО под Linux, чтобы оно физически было размещено на сервере под Windows - cоздайте на сервере виртуальную машину в Hyper-V и поставьте Linux на нее. А лучше - посмотрите, нет ли аналогов этого ПО под Windows. Например, сервер DNS уже есть в Windows Server из коробки.

Руководство от MS - здесь там есть ссылки и на руководство по настройке удаленного доступа к WMI, и на руководство по устранению неисправностей.

Нет. В этом и сила таких программ - в том, что они локально работают с файлами, загруженные с диска, флэшки, черта лысого - тогда, когда нет контроля за доступом к этому файлу.
Пригнать туда "руки" и командовать по телефону, что делать. Я так однажды FreeBSD переставлял - я был в Новосибирске, "руки" - в Омске.

Классическое GLPI + FusionInverter или что-то подобное
Но задача больше административная - пломбировка системников, написание политик, инструкций и роспись сотрудников в карточках оборудования - это если уж совсем заморачиваться.
Хотя в большинстве случаев достаточно чтобы бухи назначили МОЛ началька отдела (кабинета) и закрепили все имущество за ним, а не так что все компы в организации числятся за сисадмином

Delphi

Вы неправильно решаете задачу.
Есть простой и "родной" способ: создавайте каждому пользователю перемещаемый профиль, и настраивайте подключаемый диск с буквой для папки этого профиля (в остнастке "Active Directory пользователи и компьютеры", в свойствах этого пользователя).
Лучше указать подпапку для перемещаемого профиля, а диск подключать непосредственно к папке с именем пользователя. Так будет меньше мусора в корне.
Заодно сделайте принудительное перенаправление папок "загрузки", "мои документы" сразу в перемещаемый профиль.
Еще неплохо исключить из синхронизации папки мессенджеров, т.к. они много мусорных файлов создают.

Ваши студенты смогут заходить на любой ПК и сразу получать своё окружение (обои с котиками, файлы на рабочем столе, личный диск, "мои документы" и т.д.)

Называется "тихая установка". В мануале всё подробно описано: https://www.tightvnc.com/doc/win/TightVNC-installe...

Send-MailMessage

- Создать для учеников отдельную учетку в группе Гости.
- Запретить запуск исполняемых файлов отовсюду кроме папок ProgramFiles, ProgramFiles(x86), AppData.
- С помощью "Групповой Политики" можно закрутить многие гайки в системе, так делают в компьютерных клубах, игральных автоматах, чтобы пользователь не мог ничего сделать, кроме дозволенного. Тема бездонная, можно оценить примерный объем по ссылке.
Уже задавали подобный вопрос.

Я бы искал Scheduled Task на шатдаун. Причем задание может отрабатывать с любого хоста в вашей сети. У вас айтишников\админов недавно не увольняли?

Возможно ранее было создано локальное задание на shutdown.
Потом его удалили из политики, но именно из политики, а не настроили на удаление локальных заданий, соответственно на ранее созданные это не повлияло.
Обратите внимание на "ЭКСТРЕННАЯ перезагрузка системы" - это явно содано вручную человеком.

Использовать wget, ключ -l 1 -r или -m (осторожно, по умолчанию будет качать все каталоги, смотри опции ограничения в пути).

Ещё лучше, уйти от ftp, как устаревшего протокола, с кучей проблем. И использовать штатный встроенный функционал ssh - scp/sftp , которым может пользоваться как стандартный scp так и rsync, у которых возможностей и удобства на порядок больше.

Ssh сервер идёт с любым linux штатно, а также с windows устанавливается ее штатным инструментарием

IP, как известно, скрываются в зоне DNS (запись типа A). Впрочем, Windows ищет КД по другим записям (SRV). Для начала: этот ваш КД указан на второй машине, как сервер DNS, причем - единственный? Если нет - укажите.
Если уже указан - проверяйте работспособность поднятого КД - объявляет ли он себя контроллером? dcdiag (в командной строке в режиме администратора) - вам в помощь.

PS Ещё IP может временно храниться в кэше DNS на клиенте, но если вы уже перезагружали клиент, то там его быть не может.

PPS

уже все перерыл

Вы уверены, что перерыли действительно всё? В файл hosts на клиенте заглянули, например?