Сама хотелка так себе (и правила придуманы не айтишником, или айтишником с низкой квалификацией), потому что открыть консоль браузера и выудить пароль из полей страницы, или перехватить его из буфера обмена - минимальный кулхацкерский навык, доступный любому школьнику.
Относительно здоровое решение выглядит так - ставим клиентские сертификаты и поднимаем RDP Gateway по SSL. Если клиента уволили, отзываем ему сертификат.
Если вы хотите нормальной безопасности, а не ширмы, выдайте юзерам смарткарты и пины. Даже если юзер скажет своему дружбану пароль, он должен передать ему еще и смарткарту.