[cameron]

На втором контролере домена поднят TS. »

Надо завести отдельную учетку локального админа сервера»

локальный админ на КД? прикольно.

В голову пришел только вариант с запретом входа с определенных компьютеров. Можно ли запретить вход на TS с определенного компьютера домена, даже с правильными учетными данными? »

можно запретить совсем, с определённых IP.
учётные данные проверяться не будут, ни встроенным файерволом, ни IPSec'ом, который можно было прикрутить.
вам нужен файервол уровня MS ISA, которая это позволяет.

[exo]

а если в встроенном фаерволе настроить список резрешённых сетей? у меня так, разрешён вход только с двух IP...

Можно ли запретить вход на TS с определенного компьютера домена, даже с правильными учетными данными? »

да, в свойствах учётной записи разрешить входить Log on на сервера из группы "domain server" (сами создаёте эту группу).
И в этой группе будут все сервера, кроме запрещённого.

[volk1234]

Эмм... ну не совсем то, что надо. Я правил шапку, первый вариант вопроса был более эмоциональным

Попробю сформулировать точнее.
Заводится УЗ с определенными правами - можно зайти на все сервера в домене, допустим вкл\выкл службы. Эта УЗ будет отдана на хранение спец.человеку. Так как веры этому человеку нет, надо сделать следующее - что-бы в терминал с этой УЗ можно было зайти только с его компьютера. Так что бы другие лица узнавшие данные этой УЗ не могли входить под ней со своих компьютеров.

Начинаю смотреть в сторону сертификатов