Безопасность или паранойя: временные права при запуске команд

[Sergey-S-Kovalev]

Вопросов всего два:

Включение опции РАМ требует что бы все КД были под Server 2016 с таким же уровнем леса? Или есть послабления?

И я забочусь о безопасности ― вдруг кто-то украдет учетные данные пользователя. Поэтому дорабатываю скрипт: добавляю включение пользователя в группу и удаление пользователя из группы:
Add-ADGroupMember

Идея хорошая и идеально работает только если у Вас один контроллер домена. Если Вы внесли изменения на первом кд, а авторизацию сервер на Вашу учетку запросил на втором, то сделать это одним движением в большинстве случаев у Вас не получится, поскольку между КД еще не произошла синхронизация.

В таком контексте логичнее делать повышение локальных прав на сервере перед входом на сам сервер и иметь отдельную не привилегированную учетную запись в домене.