Acabei usando um Gateway de Área de Trabalho Remota (hospedado em um servidor físico separado) como uma maneira de me conectar a todas as VMs de que precisava. Eu tive que configurar os certificados de segurança adequados e grupos de acesso de segurança no AD e configurar o cliente de área de trabalho remota para se conectar por meio do gateway. Não sei como se compara a outras configurações, mas funcionou bem para mim nos últimos dois anos.