Как позволить устанавливать программы пользователю в Active Directory?
Открываете локальных пользователей, там добавляете доменную учётку в локальных админов.
Всё.
Можете погуглить "добавить доменного пользователя в локальные админы" и найти что-ьто с картинками и стрелочками.
Распространяйте программы через установку/удаление ПО. Не помню точно, но туда можно накидать софта для установки, проверенное вами. Пользователь будет просто заходить туда и ставить. В сети есть бесплатный курс от Сергея Шейна по администрированию.
Про мысли:
Когда пользователь Админ на локальной машине, он может делать что захочет. Мимикатом сдампить ваш пароль если вы подключались к нему. Будучи пользователем включить логирование нажатых клавиш в ПунтоСвитчере и попросить что то сделать на своем ПК человека с более высокими правами. Если доступно, считает всех пользователей домена через PowerShell, и начнет брутить потихоньку им же.