[WindowsNT]

Добавляя пользователя в администраторы контроллера домена (1), вы порождаете 100% риск потери контроллера и вирусного поражения из-за неквалифицированных действий пользователя.
Добавляя компьютер в администраторы контроллера домена (2), вы порождаете риски поражения контроллера, но уже от лица операционной системы этого компьютера. (вообще никогда не понимал, зачем такое делают).
Третий экран вообще ничего не решает, там ничего не настроено. В любом случае, настройки "менять параметры сети" там нет. Таковой настройкой является добавление учётной записи требуемого пользователя в локальную группу Network Confguration Operators на той машине, где это требуется. Но не на контроллере по-любому.

Но вообще политики не должны нормально работать на рабочих станциях, так как на контроллере два сетевых интерфейса с IP-адресами, принадлежащими разным сегментам. Думаю, когда клиенты из одного сегмента будут обращаться к IP-адресу контроллера другого сегмента, будет отказ работы политик.