Роман Безруков

В 2021 году в сервисе Print Spooler была обнаружена серьезная уязвимость (PrintNightmare CVE-2021-34527), для исправления которой Microsoft изменила поведение Windows при установке драйверов печати. Теперь пользователи без прав администратора не могут установить драйвера для принтера (KB5005033), в том числе с помощью параметра GPO Point and Print. Установку драйверов (подписанных и неподписанных) должны выполнять только пользователи с правами администратора.

Установка принтеров с помощью групповых политик Ac... - вот тут расписано, что и как делать.
Можно заранее интегрировать драйверы в устанавливаемые образы и/или, например, проверять наличие какого-то ключевого файла или флага и ставить драйверы скриптом (через GPO/Scheduled Task)

такой же вопрос пару лет назад

Использовать, например, что-то из этого:
ForensiT User Profile Wizard
User State Migration Tool (USMT)

P.S. СБИС, скорее всего, сломается...

1. В журнале System события Kernel-General 13 (выключение) и Kernel-General 12 (включение). В событии указано соответствующее время (GMT)
2. В журнале System события EventLog 6006 (Служба журнала событий остановлена.) и EventLog 6005 (Запущена служба журнала событий.)

версии сертификатов NAP NPS и VPN_USER какие?
емнип - ADCS Web Enrollment не развивается со времен Windows Server 2003 и не умеет показывать шаблоны Version 3 (CNG), поэтому либо запрашивать такие серты через консоли Сертификаты-Локальный компьютер (certlm.msc) или Сертификаты-Текущий пользователь (certmgr.msc), либо через certreq/certutil, либо пилить собственный Web Enrollment...
P.S. ну и еще проверьте права в шаблоне, чтобы все, кому надо этот сертификат, имели права Enroll

How to Restore Domain Controller From Backup?
Restore a virtual domain controller

To properly restore the DC, you must start the DC in DSRM, not normal mode. If you miss the opportunity to enter DSRM during system startup, turn off the DC's VM before it can fully start in normal mode. It's important to start the DC in DSRM because starting a DC in normal mode increments the USNs, even if the DC is disconnected from the network

Как поменять IP-адрес у КД (первая страница результатов поиска в гугле):
раз
два
три
Проверяйте, что вы не сделали при восстановлении или сделали не так

P.S. При наличии, как минимум, еще одного живого КД проще и быстрее поднять новый КД, чем восстанавливать из бэкапа. Если КД единственный - тогда все, как описано выше.

самые высоконагруженные папки

по каким критериям - количество одновременно открытых файлов, количество обращений пользователей, дисковая очередь и т.д.?

нагрузки на диск

раз упоминается NAS, то, скорее всего, у вас организован какой-то дисковый массив (возможно, и не один), соответственно, ваши папки физически могут размещаться на нескольких дисках...

Можно для анализа работы проделать следующие действия (не обязательно проделывать все действия):
- посчитать количество файлов и размер папок;
- посчитать IOPS, учесть размер блока;
- посчитать количество открытых SMB-сессий;
- посчитать количество открытых файлов и т.д. (Как найти и закрыть открытые файлы в сетевой папке...);
- настроить счетчики производительности дисков и собрать данные за неделю, например;
- на основании полученных результатов сделать какие-то умозаключения

P.S. а DFS тут вообще зачем?

Computer Configuration -> Administrative Templates -> System -> Logon -> Always wait for the network at computer startup and logon

Перенос настроек локальной групповой политики межд...

Software Restriction Policies (хотя это больше про то, что и откуда можно запускать, а не про установку).
ну и пример реализации