Alexey Dmitriev

Развернуть свой CA, выдавать всем доменным компьютерам сертификаты, которые по правам смогут получать только Domain Computers.
Настроить в NPS проверку по сертификату.

В смысле с кейсом? Это обычная текучка для системного администратора, могли бы спросить его.
1. Можно раскатать GPO с правилом firewall, открывающим доступ к порту WinRM только для членов нужной группы.
2. Можно изменить ACL через Set-PSSessionConfiguration

Да, путь изменения local policy в реестре - нормальный подход.
Вероятно этот ключ в реестре и есть значение политики - вы же всегда можете его изменить и посмотреть изменилось ли что-то в политике, или наоборот - изменить политику и посмотреть на изменения ключа.
Есть специализированный модуль для вашей задачи https://www.powershellgallery.com/packages/PolicyF...

Что мешает запустить с наивысшими правами от SYSTEM, предварительно скопировав файл bat внутрь компа?

Microsoft Configuration Manager

Никто через реестр уже не делает.
Для изменения настроек прокси есть стандартные настройки в GPO Preferences, например тут
User Configuration -> Preferences -> Control Panel Settings -> Internet Settings

"Если отключить через брандмауэр" - видимо не правильно отключаете. Нужно правильно составить правило, которое будет разрешать с адреса сервера (или для конкретных групп или пользователей) доступ на определенный сервер и запрещать для остальных.

Где вопрос и с чем именно проблема?
Можно создать GPO, которая удалить конкретный scheduled task на всех машинах, можно создать GPO, которая один раз запустит скрипт, который консоли (Powershell\cmd) удалит scheduled task.

Да. идете в гугл вбиваете "GPO add users to domain group" и изучаете.

На пользовательских папках права есть только у самого пользователя и членов локальной группы Administrators.
Так что или руками выдавать или добавлять в локал админы на каждом компе или дать безопасникам доступ к LAPS

Добавить нужный ярлык в %AppData%\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar пользователям через GPO

Копировать файл через GPO Preferences и в Item-level Targeting политики указать необходимые вам исключения для применения.

Есть baseline security analyzer и GPO baselines от MS.
Все остальное строится под требования заказчика.

В современных реалиях сетевые диски подключаются через GPO Preferences. А в них через Item-level targeting можно задать любые гибкие условия применения.
Соответственно в одной политике должно быть 2 записи, одна из которых включает всех кроме одного пользователя, а вторая - наоборот.

Создавайте политикой scheduled task, запускаемую один раз при входе юзера - с нужными вам правами.

Погуглить по запросу "local policy change keyboard layout", почитать и сделать.