Alexey Dmitriev

Это называется SSO, попробуйте погуглить по запросу RDP SSO

Нет, лагать не будет. Ставьте.

Раньше это решалось поднятым WINS сервером. Сейчас это считается устаревшим подходом.
Но и другой подход MS НЕ предлагает, считается что сетевое окружение не используется больше.
Попробуйте обеспечить маршрутизацию NETBIOS протокола из впн в сеть и обратно

Да, возможно.
Через powershell логика такая. Получить список нужных машин (сборов по сети или вручную создав файл), зайти в цикле ForEach на каждую машину по enter-pssession или invoke-command и достать через Get-LocalGroupMember список членов нужной вам локальной группы, записать его в файл или переменную.
И это только один из вариантов - гораздо больше их есть в Интернет, если соблаговолите погуглить

Правильнее поднять новый контроллер в другом йод, а потом вывести из эксплуатации старый.
Если он у вас один - это не правильно. Если несколько - вы же понимаете как авторизация в AD работает, как DC locator действует?

Да, "Это настраивается в самом VPN"

На пользовательских папках права есть только у самого пользователя и членов локальной группы Administrators.
Так что или руками выдавать или добавлять в локал админы на каждом компе или дать безопасникам доступ к LAPS

Причем тут пользователи?
Если были потеряны trust relationsheeps между компьютерами и рабочими станциями, значит компьютеры 180 дней не имели связи с контроллером домена и их (именно учетных записей компьютеров) пароль был просрочен.

Добавить нужный ярлык в %AppData%\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar пользователям через GPO

Нет.
Это разные системы активации.

Есть baseline security analyzer и GPO baselines от MS.
Все остальное строится под требования заказчика.

Microsoft Deployment Toolkit

Погуглив - как восстановить Grub в Ubuntu

Python, docker версия могут быть запущены на Windows.
Outline версия сервера есть под Windows.
Подключение за Nat реализуется через проброс портов или любой другой механизм.
"На пальцах' можно найти в гугле и документации

Вы создаете объекты не на RODC, остастка цепляется к одному из DC, по умолчанию вообще к PDC Emulator.

P.S. Вы же в курсе, что Server 2008 уже out of life?

Ставите Registry Monitor, запускаете, выставляете настройку, которая вам нужна - смотрите в мониторе - какие ключи изменились. Сохраняете ключи и значение в reg файл и так далее по тексту.