Barrapunto

En caso contrario ya seria como tener el equipo sin cable de red, y que yo sepa el tema no era que el equipo estubiese aislado, sino que habias perdido la posibilidad de controlarlo en remoto por el cortafuegos.

Precisamente tratándose de cortafuegos o antivirus que trabajan como cortafuegos(muchos actuales lo hacen) quedarte sin red como si hubieras quitado el cable es totalmente posible.

Y de paso, di por que es tan malisima idea esto como ultimo recurso.

Por esto:

le das permisos a su usuario suficientes para ejecutarlo

Le estas dando las llaves de tu casa al primero que pillas por la calle para que le abra la puerta a tu hijo que ha perdido las suyas.
Ni siquiera te dejaria mi cuenta de usuario ya que estan mis ficheros y datos. En todo caso te creo una para ti en mi equipo. No se trata de que vayas a hacer algo malo, se trata de que sin querer suceda algun desastre.

De todas formas, no he visto que proporciones ningun tipo de solución, ni siquiera para este caso concreto, que no sea mas alla de: paseate por 400 equipos por si acaso.

El no se, pero en mi caso.
No jugar con el cortafuegos en remoto o hacerlo lo mínimo probando las reglas temporalmente antes de dejarlas fijas(en el iptables puedes hacer cambios y si no las guardas se pierdan al reiniciar simplemente).
Si hay que hacerlo mejor en horas que no estén trabajando y con tiempo para poder llegar antes de que vuelvan a necesitar el equipo.
No se ejecuta nada que tu no autorices previamente.
El antivirus solo es antivirus, si lo actualizas no tiene porque joder la red(aunque igual te puede joder el sistema :P).

no que el usuario no pueda hacer login contra el servidor de dominio (y pillar los permisos necesarios).

No hay ninguna razón que justifique darle permisos de administración a un usuario. Luego se rompe algo y a quien piden responsabilidades es a ti.
Vamos, no se las doy ni a mi padre en mi equipo de casa. ^^
Necesitas unos conocimientos que de normal no van a tener y en caso de tenerlos, necesitan unos permisos que tu nunca puedes concederles.
Yo nunca se los daría sin consentimiento por escrito de alguien por encima mio.