Tudo vai se resumir a uma troca de segurança pela conveniência de poder usar um conjunto de credenciais de administrador de seu domínio principal. Minha recomendação é não configurar um novo domínio e confiar, porque isso só vai lhe dar uma falsa sensação de segurança. Nem implante um controlador de domínio no local. Não faça engenharia. Você vai acabar tendo mais trabalho do que o necessário para muito pouco ganho em termos de segurança. Use a VPN para permitir que os clientes se autentiquem nos DCs do escritório. Bloqueie seu acesso à rede em seu firewall para limitá-los apenas aos IPs, portas e protocolos necessários para sua finalidade. Ative o armazenamento em cache de credenciais nos clientes para que o usuário ainda possa efetuar login quando a rede falhar. Ative a criptografia de unidade BitLocker nos clientes para reduzir o acesso ao disco off-line. Use a solução Microsoft LAPS para garantir que as senhas de administrador locais sejam exclusivas e com backup no Active Directory. Mais importante ainda, nunca faça logon nos clientes com uma conta de domínio com acesso administrativo a qualquer um dos outros computadores da sua rede. Aplique uma política de grupo para negar a rede de contas de administrador de domínio e o logon interativo a esses sistemas para garantir que isso nunca aconteça. Melhor ainda, use a conta LAPS para toda a administração remota destes. Dessa forma, se alguém ficar comprometido, ele estará limitado a esse sistema e a todas as contas que ainda estiverem na memória. Deixe-me saber se você tem dúvidas ou preocupações sobre essas sugestões. Conveniência / usabilidade e segurança sempre estarão em conflito umas com as outras. A chave é encontrar o ponto ideal onde ele é seguro e também utilizável, mas nem sempre conveniente, infelizmente.