fpir

На "домашнем ПК с виндой" открытием и закрытием портов в/из вашей локально сети рулит ваш роутер(он-же шлюз). Какую модель угроз вы себе представляете, даже открыв 3389 на компе и оставив винду без авторизации?
Ваш ребёнок зайдёт со своего компа и положит ваш сервер? ну тогда просто поставьте пароль на учётку винды. Или он может брутфорсить пароли и сканировать открытые порты? Тогда да, озаботьтесь стойкостью паролей и закрытием всех портов на брандмауэре.

Описание и фото говорят, что мать(BIOS) видит флешку, обращается к ней, читает файл UEFI и на этом загрузка прерывается. Причин может быть десяток - сам образ не загрузочный(в нём нет загрузчика или он битый),UEFI не содержит ссылки на загрузчик(не правильно создался файл, виноват Руфус), секюр бут, опять-же(в uefi нет подписи загрузчика) и тд.
Если надо именно виндовую флешку - скачайте у мелкомягких утилиту для создания загрузочной флешки, ей можно подсунуть любой исошкник, хотя в принципе, и образ лучше оттуда взять.
Если хотите флешку "100500 в 1" - советую с рутрекера, там принято под раздачей описывать, как его разворачивать и под что он заточен.
Ну а руфус идеален для создания люнуксовой флешки, под то и заточен, это не значит что другую нельзя, это значит, что нужно понимать, что делаешь и для чего это надо. И желательно понимать на каком железе будешь это использовать.

Проверенная фишка: устанавливаешь 10ку в uefi, чистую, можно даже не устанавливать, а только создать разделы, но по простому- устанавливаешь. После установки раскатываешь образ системного раздела(ранее созданного со своей системы)в раздел созданный при установке и грузишься штатным образом. Без танцев с BCD. Надеюсь понятно объяснил

Так, народ, смотрите-можно всё, что не противоречит физике. Другой вопрос - что за это будет. С точки зрения "правоохранительных" органов не существует в природе никакого Miсrosoft или Autodek. Не ожидается, что Бил Гейтс придёт в советский районный суд как потерпевший. Но тем не менее туда кто-то приходит и выступает. И есть сомнение, что Бил выдал ему доверенность лично.
Так вот, контора ЛегалСофт никуда не делась. И, вроде, не собирается никуда деваться. И запросто может в суд своего человечка прислать. Поэтому для подданных в России ничего не меняется, совсем. Может для ЛегалСофт поменяется, но это не особо касается задающего вопрос.
Ну а технически ... Выпилить из винды обновлялку не долго, да и с ключами нет сложностей.

В свойствах файла(папки), во вкладке безопасность смените владельца на себя.

За кэширование паролей отвечает политика "Интерактивный вход в систему: количество предыдущих подключений к кэшу (в случае отсутствия доступа к контроллеру домена)", значение, несмотря на описание, это количество последних пользователей домена, которые входили на эту машину. Т.к. на конкретную машину входят, обычно, 1-2 пользователя и админ(в другом случае, несколько админов), то значение 3-5 гарантированно добавит в кэш доменных админов(если они вообще когда-либо заходили на данную машину). Т.е., чтоб подключится к конторскому компу у пользователя дома - задайте политику(по умолчанию, вроде, 5), скажем, 10, зайдите под своей учёткой и отдайте комп.
Или я чего-то не понял?

Выделить под linux раздел(почти по любому придётся), загрузится с лайва, раскатать образ на выделенный раздел, загрузится в него и запустить grub update.
После этого поколдовать с fstab, если надо монтировать разделы при загрузке. Так-же, предусмотреть по желанию разделы под /home и под swap, при наличии этого желания.

Может проблема с целевым диском, куда ставите. Например на диске один раздел на весь диск, а ubuntu на виртуальном. Вообще, когда такое пару раз случалось - удалял все разделы с диска. Исключая случай, когда вкорячивал 7ку на B450 чипсет, там реально в ОС не было драйверов для USB3.

Похоже на нарушение ассоциации расширения файлов, но в любом случае: cureIt из безопасного режима- первое действие.

загрузитесь в убунту и сделайте sudo update-grub.
Вот инструкция с оф форума, только вам с live-cd грузится не надо. и примонтировать разделы тоже не надо. Но даже если сделаете - страшного ничего не случится ,только вывод будет отличатся.

Без проблем, Создаёте на диске д папки с именами пользователей. Пользователям говорите - кто создаст файл не в своей папке - ССЗБ. Настраиваете права на папки для пользователей, например для всех пользователей домена чтение, для владельца полный доступ. Меняете владельца папки с себя(вы создавали) на пользователя. Или задаёте полный доступ тому, чья папка, остальным чтение, оставляете владельцем себя. В этом есть смысл-человек уволится - вам проще будет удалить.

В качестве упражнения по телепатии:
Не грузится система, потому что поставили uefi, а загружаете legacy, или наоборот.
А "кнопка биоса" пропала, потому, что теперь есть инструкция по загрузке и она отрабатывает. После того, как она отработала и выдала ошибку ноут уже не ждёт нажатия ф12, принимает только алт+контр+дел.
Попробуйте так - нажимаете кнопку включения и одновременно быстро нажимает ф12 несколько раз. Пока не появится, либо ваша ошибка, либо экран биоса. Пробуйте повторить всю процедуру несколько раз.

Я знаю только один способ поставить драйвера не предназначенные для данной версии винды - распотрошить экзешник и отредактировать .inf файл. После этого надеется, что драйвер заработает, иначе искать исходники драйвера и править/компилить. Но тут мои полномочия всё

Уже был недавно похожий вопрос. Там, похоже, майнер подхватили. Может и ваша проблема в этом. Ответ; CureIt и скан всех дисков

Чтобы сделать по вашей хотелке, переустановите систему удалив все раздеы с SSD и раздел в ~500 MB в начале HDD(на нём и находится ваш boot manager). Для установки выбирете весь SSD, винда сама созаст служебный раздел.
Есть варианты и без переустановки, но, думаю, вы не станете заморачиваться.

Можно попробывать поймать нужный момент и нажав f8 загрузится в экран востановление, после чего перейти в консоль, запустить regedit и подключив ветки реестра основной оси поправить реестр.
Можно загрузится в любой гостевой оси и вытянуть данные.
Или на маке нельзя загрузится с флешки?

Вообще не вижу сложности.
Как всё грузится: загружается биос, передаёт управление первому загрузочному диску, на нём ищется MBR или UTFI, MRB передаёт управление загрузчику, тот передаёт управление загрузчику ОС. После MBR(UEFI) уже нет разницы, на каком устройстве расположены загрузчик и загрузчик OC. Т.к. виновый загрузчик не признаёт других ОС, загрузчиком будет груб. Соответственно где-то распологаем груб и с тотже диск делаем загрузочным в биосе. Если расположите на hdd, то ssd можно будет юзать отдельно от всей сборки, тупо переазначив загрузочный диск.
Как размечать- великий вопрос. Canonical думает, что всё на одном разделе, кто-то выносит на отдельный раздел /home, а кто-то и /var/log.
Непонимание вопроса, как всё грузится и приводит к тому, что грузится только виндовс или только линукс. Ещё раз BIOS-MBR(uefi)-GRUB-OS. Каждый последующий задаётся в предыдушем. Убунта поставит груб и перепишет MBR. GRUB найдёт оси на всех дисках. Надо только установить загрузку с того диска, на котором MBR переписана под груб. Ну и не выбрать первый пункт в автоматической установке убунты, где очистить все диски.

Как вариант, если не можете изминить екзешник-пришейте к нему батник. В батнике пропишите присвоение имени екселевского файла как-то связанного с именем пользователя и копированием его на расшаренный диск. Если сделать экзешник скрытым, то ошибок будет минимум. Батник так-же может удалить экзешник, только сам себя удалить не сможет.
Варианты с RDP тоже рабочии, но остаются проблемы со сбором ответов по папкам пользователей(решаются простеньким батником) и обучением пользователей работе с RDP(возможно, принципиально неразрешимые)

Ну а как запретить админу администрировать систему? Только приказом "кто снесёт программу - лишится премии".