per fare quello che dici tu, considerando una rete winzoz, si puo fare agevolmente utilizzando Active Directory, praticamente è il server che assegna privilegi e impostazioni ai vari clients che si collegano (o meglio agli utenti che si collegano, dato che è indifferente se un utente si collega da un client piuttosto che da un altro).
Per la domanda n°4 invece c' è un sistema empirico + semplice: utilizzare il VNC in modalità "disable input", in pratica guardi su quel client senza interferire con chi lo sta utilizzando.