Admin Approval Mode (UAC) Server 2019 - wie regelt ihr das?

Du sagt es doch selber: Man arbeitet mit Domain Adminrechten "wenn es noetig ist"
Aber fuer Administrative Aufgaben sind volle Domain Adminrechte, sofern der Server auf dem man arbeitet nicht grade ein DC ist, vollkommen unnoetig.
Normale, lokale, Adminrechte auf dem jeweiligen Server reichen da vollkommen.

Es ist tatsaechlich normale gaengige best practice, die Accounts die Domain Adminrechte haben nicht fuer die normale taegliche Arbeit zu verwenden. Faengst du dir auf dem Account was ein, ist ratz-fatz die ganze Domain hinueber.

Bei uns in der Firma ist folgendes schon seit 20 Jahren Usus:

Es gibt 3 "Domain Admin" Accounts, die volle Adminrechte haben. Deren Zugangsdaten sind nur denen bekannt, denen der Account zugeordnet ist.
Diese Accounts werden nur verwendet, wenn Domain Adminrechte auch *wirklich* gebraucht werden. Die Accounts werden regelmaessig auditiert, und jede Verwendung geloggt.
Die Zugangsdaten fuer einen weiteren Domain Admin liegen in einem versiegelten Umschlag in einem feuerfesten Tresor. Gebraucht haben wir diese in 20 Jahren aber noch nicht.

Alle IT-Kollegen haben weiterhin 2 Accounts in der Domain. Einen normalen Account, der keine speziellen Rechte hat. Das ist der normale Arbeitsaccount auf der eigenen Workstation. Die Rechte entsprechen denen eines jeden anderen normalen Mitarbeiters.

Der andere ist ein Admin Account, der Rechte entsprechend des Taetigkeitsbereiches des Kollegen hat. So zB lokale Adminrechte auf den Windows Servern. Die Accounts werden auch ueber RADIUS fuer andere interne Systeme verwendet, wir versuchen es soweit wie moeglich zu verhindern das die Admins ein ganzes Sammelsurium an Accounts verwenden zu muessen.
Und bei uns, da wir ein grosses Team mit vielen unterschiedlichen Aufgabenbereichen sind: Wenn du fuer etwas nicht zustaendig bist, bekommst du auch keine Rechte.
Und dieser Admin hat die Rechte die ein Mitarbeiter hat nicht: Kein Internet, kein Intranet, kein E-Mail. Es soll garnicht die Versuchung aufkommen den Account auf der eigenen Workstation dauerhaft eingeloggt zu verwenden.

Die User Account Control wird dabei nicht angefasst. Die Folge: Wenn man sich mit dem Admin Account an einem Server anmeldet, muss man einmal auf "Ok" klicken wenn man etwas startet was Adminrechte braucht.
Und, zugegeben, etwas stoerender: Man muss teils dran denken dass man bestimmte Programme explizit als Admin starten muss. Das betrifft dann zB die PowerShell, oder Notepad wenn man Systemdateien anpacken muss.
Dieser Arbeitsablauf geht aber schnell in Fleisch und Blut ueber. Meistens denk ich sogar dran, auch wenn mein Haupteinsatzgebiet nicht Windows ist ;)

Selbst in einer zwei Mann Butze gehoert das meiner Meinung nach in diese drei Ebenen getrennt.