[Gently]

Удалось решить проблему самостоятельно.

Оказывается всё дело было в групповых политиках, накрученных на Win Server 2003.

После сброса схемы

dcgpofix /ignoreschema

всё заработало как надо.

Результатирующая политика стала появляться успешно на всех рабочих станциях.

Windows Server 2016 также успешно добавился как второй контроллер домена.

Всем большое спасибо за советы и уделенное время.

Тему можно закрывать.