M
1. посадили за пк - сразу этого чувака в RD Users и только его. никаких Domain Users
2. Есть вебморда - на ней прям - "Получить доступ к моему пк по RDP" - чуваку приходит письмо с инструкцией и уже готовым ярлыком. Админам уведомление, что ткой то туда то получил доступ.