> А. Я лет 15 с SMB-сегментом дел не имел, если честно.

Софт дожирает мир, и малый бизнес часть того немногого, что он пока не доел до конца. У меня новый клиент, сверлят и обслуживают колодцы в районе со 100к населения. В этом году они решили модернизировать бизнес-процессы, так как их система документооборота на бумажных формах и человеке для вбивания в эксель начала этот самый бизнес  тормозить. Из каменного века сразу в клауд. Люди приятные, деньги у них самые настоящие. Ну вот как с такими хорошими дел не иметь? ;)

> И вот после слов "установленный на контроллере домена" - становится смешно и грустно...

Два контроллера связаны через VPN. Не вижу проблемы. Когда дорастут до своих роутеров, сделают лучше. Если дорастут.

> Ээээ... Комплаенс в бете и может примерно "ничего",

Я не знаю какой именно тебе комплаенс нужен, возможно в ts его действительно нет.

> насколько я понял, 2FA - на уровне identity provider'а (Что он умеет, то и будет - сам ts тут не при делах)

Так хорошо же, что не при делах. В своём IdP ты можешь сделать, что нужно лично тебе и так, как нужно тебе, а не ждать пока там кто-то где-то фичу запилит. А если нет времени на это — вагон сторонних. Да хоть к аккаунтам организации на гитхабе прицепи, если нужно девелоперов куда-то пускать. Это по-моему одна из самых лучших фич. Как по мне, так поддержка OIDC должна быть вообще везде, где нужно аккаунты группировать.

> "малый бизнес" с ADFS у меня как-то не очень ассоциируются. Про AO\SBL - тоже хз.

У тебя не ассоциируется потому, что ты привык к энтерпрайзным деплоям. А Майкрософт c Office365 for business даёт самый настоящий AD. Набор фич зависит от типа аккаунта, но теми что есть можно пользоваться точно так же, как ты бы пользовался on-prem. Разница лишь в том, что бэкапы и HA аутсорснуты в автоматику Azure.

> ответ нет, не устраивает

Ну раз не устраивает, тогда только костылями. Но костылями тут любой может и без советов анонимов.