Alexey Dmitriev

В Admin center создать нужную Retention Policy и назначить ее на почтовые ящики.

/var/log/auth.log, /var/log/secure

Описать через allowedips все подсети, кроме локальных. Андроид или Windows (не помню точно, возможно оба) клиент умеет составлять их автоматически.
Вы же гуглили по запросу wireguard exclude local net?

Всегда можно провести его force removal, то есть просто выключить и удалить из AD на другом DC через ntdsutil или ad sites and services и dns консоли.

Можно и это нормально. При отсутствии драйверов их можно взять от параллельной версии Windows

Не панацея. Поставить на сервере с wireguard AdGuard Home, настроить его как DNS для VPN подключений и блокировать запросы к трекерам torrentов - есть даже готовый пример
https://github.com/DNCD/block-bittorrent-domains
Красиво и с web интерфейсом

Нужно перезагрузить веб сервер - apache\httpd или nginx

Это невозможно. Можно добавить в приложение remote app определённую группу, но она должна иметь права на rdp.
Можно попробовать в профиль AD добавить какой-то скрипт входа, который будет колхозно что-то проверять и решать

Используйте DNS для валидации

Оборудование нужно подбирать соответствующее техническому заданию, требованиям, ТТХ.

Включить access-Bases enumeration

погуглить, найти конвертер, перенести в nginx, протестировать, подумать и спросить тут - если не работает.

По умолчанию машины в сети сами обновляют dns записи. Видимо у Linux машин нет прав на свои dns записи. Создайте сервисный Аккаунт с членством в dnsupdateproxy группе, и добавьте его в настройки dhcp сервера. Все dns записи будут создаваться от имени сервисного аккаунта и dhcp будет иметь права на dns

1. По логинам и членствам в в определенным группам.
2. По ip подсетям.