Eu recomendaria um Yubikey , contanto que você possa mantê-lo seguro. O Yubikey é um gerador de senhas de uso único (TOTP), mas possui um segundo slot que permite inserir uma string personalizada. Então você pode digitar o seu nome de usuário, então pressione e segure o Yubikey por 2 segundos para que ele digite a senha estática que você programa nele usando o Ferramenta de Personalização .
Além disso, o Yubikey é simplesmente fantástico. E tenha cuidado com isso - os empregadores gostam de encerrar aqueles que facilitam o roubo de senhas de superusuário.
Eu uso um Yubikey Neo com o segundo slot para PARTE de uma longa e estática senha. Eu introduzo os primeiros caracteres da senha e, em seguida, pressiono e segure o botão no meu Yubikey Neo. Ele entra nos próximos 30 caracteres e, em seguida, digite Enter.
Em outra nota, concordo com @zoredache - Crie um grupo de segurança do AD que obtenha o administrador local em todos os sistemas ( se você for um administrador, mas não for um membro de "Administradores do domínio" em sua conta principal, crie um novo usuário para você que faça parte desse grupo. Uma montadora fez a mesma coisa anos atrás quando eu trabalhei com sua equipe de TI - eu tinha user.name como minha conta principal, $user.name no grupo Admins. Do Domínio e $$user.name no grupo Administradores Corporativos. O login local não era permitido em máquinas clientes usando contas $ ou $$, mas o login nos servidores só era permitido a partir dessas contas. Uma maneira interessante de forçar os administradores a não serem administradores do domínio em sua conta principal, salvando a rede de problemas se eles forem comprometidos.