Active Directory, ge ett konto admin på klient maskiner, men inte på servern

Tjolahopp! Jag är ganska ny med att administrera en domän och tänkte därför fråga istället, för här finns det garanterat någon som vet.

Vi har en Windows 2012 R2 domän. Två servrar 1 som DC och en som kör webbserver och även kommer få hosta en maskin med ett gammalt orderprogram som bara fungerar på Windows 2003 och XP. (Vi kör Windows 10 på alla klienter, utom min som är en Mac mini.)

Jag behöver alltså få det såhär:
Administrator access till allt - Klart
Klienter - Vanliga användare - Klart

Mitt konto vill jag kunna göra Administrativa åtgärder på klient maskiner, men inte på servern. Där vill ja fortsätta använda administratör kontot. (För att separera på det.) Följde en guide för att göra en användare till lokal administratör över klient/klienter. En group policy för Local Admin.
Denna: https://social.technet.microsoft.com/wiki/contents/articles/7...

Problemet är att om jag lägger till mig i denna grupp, då kunde jag helt plötsligt också logga in med mitt konto via rdp på servern och då var jag administratör där också (ganska givet eftersom gruppen "Remote Desktop Users: Administrator" ligger med. Hur löser man detta?

Skulle vilja ha ett konto som användare kan få använda när de behöver installera ett program som kräver administratör. Helst något annat än mitt.

Sedan undrar jag hur man gör så att klienter tillåts installera typsnitt själva, för det görs nästan dagligen.

@Rhames: När du säger klienterna, menar du då klient datorerna eller klient kontona? Datorerna ligger i default (som är en mapp) som heter "Computers" och klient användarna ligger i en "OU" som heter "Kontor". Skall jag flytta datorerna till en OU istället och göra om min GPO så att den istället ligger under den nya dator "OU"et?

@Radix_Lectis: Se mitt ovanstående svar om jag fattat det rätt?

@lowngcawt: Jo, funderat lite på det där med en till DC, tänkte att jag kanske skall sätta den andra servern som DC2 och lägga webbservern på en hyper-v istället på samma maskin. (Har väldigt begränsade resurser tyvärr, så får jobba med grejerna jag har.)

Fick till så att mitt konto är admin klient datorer och inte server, MEN! Eftersom mitt konto fortfarande är delvis länkat till administrators så kan jag fortfarande se och gå in i andra användares "Home" folder. Varje användare har en egen mapp under "Users" på filservern. Skulle helst vilja att min login bara listade min mapp (som det var innan jag gjorde mitt konto till klient admin).