y2k

Пробросить программисту Wireguard и больше ничего не трогать. А вообще, какой смысл держать у себя полностью изолированный сервер? Пусть программирует на домашнем...

Практически любой компонент Windows настраивается при помощи PowerShell. Так что логично использовать родной Desired State Configuration, кастомные скрипты и, опционально, Chocolatey.

Проблема в кривом переводе. На самом деле, он означает "Учётная запись заблокирована". Вручную вы можете ОТКЛЮЧИТЬ учётную запись, а БЛОКИРУЕТСЯ она автоматически. Это не одно и тоже.
Требовать смены пароля и Запретить смену - взаимоисключающие пункты.
Можете создать запасную учётку с именем вроде "w3PwcWJpEJWHkyu8", а лучше защитите RDP. Но это уже совсем другая история...

Нельзя использовать внешние DNS сервера. Настраивайте свой на контроллере домена.

Зачем так усложнять? Переместите машину на другой узел Hyper-V и дело с концом. Ночью никто не заметит переключения :)