[Busla]

Anton04, не надо повторять одну и ту же глупость дважды:
чтобы пользователь локально попал в VM ему всё равно надо логиниться на физическом хосте, который по вашему рецепту всё так же является контроллером домена

Тогда уж надо контроллер домена переселять в ВМ, на хост/гипервизор логиниться рядовым пользователем. Мне эта идея не нравится, но по крайней мере она решает затруднения топикстартера.