Alexey Dmitriev

Вы сейчас в стадии принятия неизбежного "гнев". Поэтому и пишите глупости про ФСБ, эмпатию и т.п.
Вы потеряли какие-то данные и либо вы займетесь их восстановлением и заплатите за это деньги, либо в какой-то момент пройдя все стадии - примете их потерю и будете жить дальше.

Ответить на ваш вопрос здесь не смогут - скриншотов недостаточно, чтобы хотя бы что-то понять-нужно вдумчивое исследование. Делать его здесь по переписке думаю никто не согласится.
Так что принимайте потерю данных, либо задавайте правильные вопросы - как можно их восстановить и т.п. И в этом случае - нужно остановить все попытки сделать это самому-если не хотите их потерять окончательно своими действиями.

Погуглите "Master Browser в рабочей группе".
В них часто происходят выборы этой роли и соответственно отваливаются компьютеры в сети.

1. В Azure AD нет политик GPO.
2. Если новые компьютеры включены в домен Azure AD, значит ваша организация так решила.
3. Если вы имеете ввиду обычный новый компьютер пользователя - там есть авторизация через аккаунт Microsoft или автономная запись - никакого Azure AD там нет.

Нет. Компьютер должен с чего-то загрузиться.
И почему вы говорите об обновлении, а потом описываете развертывание образа ОС? В Endpoint Manager это разные операции.
Уточните - что вам нужно-разворачивать ОС на новые машины или обновлять на старых?

Разобраться - почему не обновился.
Сначала понять кто делает запрос на обновление - сама рабочая станция или dhcp, затем проверить есть ли права у того, кто делает запрос - на перезапись DNS записи и включены ли настройки вообще обновления DNS.

Мой ответ немного со стебом -потому что это тривиальная задача для начинающего администратора, умеющего гуглить и читать.

Это называется kiosk mode.

1. Включите опцию VigilantBear. Судя по описанию она блокирует любой трафик, проходящий не через TunnelBear.
2. Непонятно почему вы не можете использовать встроенный файрвол. Вам всего лишь нужно описать весь входящий и исходящий трафик - для соединения tunnelbear с сервером и для пакетов внутри TunnelBear.
Затем следующим после этих правил поставить запрещающие всё правила на вход и выход и командой из консоли включать их или выключать.

Сменить пароль от локальной учетной записи с помощью Microsoft DART

Чтобы это работало - надо на сервере установить компонент Desktop Experience (Возможности рабочего стола).
Возможно еще можно полностью отключить сглаживание шрифтов для пользователя в на сервере, куда он подключается.
Тогда по идее при подключении этим же пользователем через RemoteApp настройки системы подтянутся.

Windows Hello и Windows Hello для бизнеса это разные сущности. Вы настраивали политиками вторую, а используете первую.
Вам нужно воспользоваться советом Alexander Pikeev

Гуглите по запросам "что такое TGT" и "Что такое DACL".
Благодарить не нужно.

То, что проверяет "доступ к интернету", называется NCSI - это несколько проверок.
https://habr.com/ru/post/214953/
Вам нужно определить, какая из проверок не отрабатывает и устранить причину.

Работать в Linux и иметь виртуальную машину с Windows.
Работать в Windows и иметь виртуальную машину в Linux.
Работать в Windows и использовать WSL, если задачи позволяют.

1. Обычно в MBR активного диска.
2. Да, но зачем? Может вы имели ввиду - редактировать его конфигурационный файл?
3. Гуглить "restore grub %название вашего дистрибутива linux%"

Если пишет, что служба остановлена - нужно ее запустить. если не запускается- нужно разобраться почему и исправить запуск.
По поводу бекаперов - гуглите.

NCSI для корпоративных и consumer версий WIndows 10 происходит по разному. Убедитесь, что у вас запросы идут точно туда, куда вы думаете.
Можно это сделать, например установив Wireshark на саму Windows или linux router для захвата трафика и его анализа.

Для начала определитесь, как вы будете создавать файловый сервер на windows 10 с лимитом полуоткрытых соединений в 20.