Вадим Чопоров

Управлять машиной не через RDP, а через средства виртуализации.

RDP - сетевой протокол. Нет сети - нет протокола.

Вариант ответа на скорректированный вопрос:
Можно указать фейковые DNS, что не позволит получить адрес нужного хоста любому софту. А ты подключаться сможешь как и раньше.
P.S. Не забыть выполнить flushdns после установки DNS.

Есть отличное встроенное средство - Windows Backup. Или wbadmin.exe

Существует большое количество сетей и технологий их организации помимо TCP/IP. Грамотный сетевой инженер должен понимать, с какого момента у них начинаются отличия. Чем отличаются v4 от v6, как работает ISDN, где заканчивается SDH и какую роль играет DWDM, где надо использовать VSAT и где SCPC, как понять SS7 и на каком уровне включить для него SIGTRAN на определенном участке сети...

Нет понятия "IIS сертификат". Есть SSL-сертификат, который некто создает. Цепочка всегда одна и та же - есть или создается CA, сертификат которого копируется на все машины в хранилище доверенных корневых сертификатов - Вам придется это делать вручную, если бы был домен, это делается политиками.
После этого создаются запросы на сертификаты и выпускаются сами сертификаты. Вам - только колхозить на OpenSSL для Windows, если бы был домен, можно было бы службу поднять. Это не исключило бы необходимость колхоза, но значительно бы снизило его сложность.

- должен ли этот сервер иметь свой собственный сертификат для подписи тех, что он выдает другим серверам?

Да, конечно. Вам - колхозить его руками, при наличии домена он генерится автоматом

- если его надо сначала будет скопировать на все клиентские машины,

Надо. Причем не просто так скопировать, а установить в хранилище доверенных корневых сертификатов

Или я могу использовать любой свой с Let's Encrypt и от него далее по цепочке генерить дочерние?

Нет. Ни один мировой CA не даст Вам сертификата subCA

- должен ли PKI сервис быть все время запущен, чтоб с других машин браузеры могли бы запрашивать его на валидность внутренних сертификатов?

Вообще такая штука есть, OCSP называется, но это не про Вас. Если Вам край как нужна валидность - вставляйте CDP и выкладывайте CRL

- будет ли выданный PKI сертификат выдан на имя сервера в интранет (например: SERVER001 или SERVER001.local)?

Как напишете, так и будет.

Есть только ПК, являющийся шлюзом 192.168.0.1

он не при делах внутри сети

Как одному из компьютеров дать доступ ТОЛЬКО к одному ip из этой подсети?

1 - можно настроить в ручную адреса на целевом компе:
- для его собственной работы, в ручную прописать правильные ip, шлюз и днс (проследить что бы ip, был вне диапазона DHCP, а то рано или поздно произойдет конфликт адресов и сбой сети)
- прописать на нем же второй адрес из другой подсети, допустим 192.168.10.1/24
- на компе подвергаемом ограничениям, только один адрес, допустим 192.168.10.2/24, шлюз и днс не обязательны, ибо их в этой подсети нет
.. возможно придется повозиться с настройками сетей - вторичная сеть должна быть частной у обоих компов, иначе ни чего не заработает. может потребоваться использование фала hosts. в общем место для творчества наверняка найдется

2 - если сетевые карты всех компов поддерживают vlan - изучить что это такое и развести по vlan

в любом случае самообразованием заниматься придется. но все решаемо

ps - но если пользователь грамотный - это все будет в пустую (... или права урезать? смотреть надо)

upd исправлена копипаста! (доп.сеть - 192.168.10.*)

pps - а вообще - какая цель? может все гораздо проще?
- доступ к файловым ресурсам и принтерам, можно развести по юзернеймам/паролям. свободные шары запретить
- выход в интернет забанить персонально на шлюзе. гугл в помощ по ПО шлюза, но если там просто винда - своего фаервола за уши хватит для бана конкретного ip. просто на арестанте придется ставить фиксированный ip что бы все работало
... ну или смотрите сами что проще

Гуглите PXE, Windows ADK, Windows Deployment Services (WDS), Microsoft Deployment Toolkit (MDT).

PowerShell

Можно добавить ко всем: file.jpg.jpg всё равно останется jpg.
forfiles /?

Так же они могут выключать сервер, ставить ПО и так далее. Почему так происходит? Я же не давал им администраторов.

Значит ваши пользователи имеют права администратора.

как огранить пользователей до уровня "Пользуйся чем дают", по убирать из меню ПУСК все программы которые их не касаются и вообще запретить трогать сервер?

gpedit.msc - Политики ограниченного использования программ

Как на счёт: https://mikrotik.com/product/RB962UiGS-5HacT2HnT

Если определить так не можете - отключите файрволл полностью и включайте правила по-одному - простым перебором найдете виновника

whoami ?