Какие права регулируют доступ к оснастке AD?
Кто вам сказал что "Выносить оснастку за контроллер домена не получится" ?
google rsat
не надо кому попало давать права  на DC заходить
Добрый день. Смотрите в сторону делегирования полномочий. Должно решить Вашу задачу