[GreenIce]

Возможно нужно следующее:

1. Запретить локальный вход на всех рабочих станциях в том числе контроллерах для пользователя или если это невозможно запретить локальный вход на контроллерах и прописать что пользователь может логинится только на контроллерах домена.
2. Разрешить доступ по сети пользователя к контроллерам домена
3. Дать пользователя права на добавление рабочей станции в домен

ЗЫ Если конечно я правильно понял фразу "Больше ни чего ему не нужно, локальный вход в том числе."