housemasta

ich würde der form halber alles in einer domain belassen und mit GPOs arbeiten entweder alle produktionsmitarbeiter in eine gruppe und dann die rechte explizit entziehen oder alle anderen mitarbeiter in eine gruppe und explizit rechte gewähren. sollte die anzahl der produktions-PCs überschaubar sein kannst du die GPOs, die im AD definiert sind auch durch lokale policies overriden (auch wenn das eine eher unästhetische lösung ist) unter anderem hättest du auch die möglichkeit, die user trotz lokaler adminrechte um gewisse rechte zu kastrieren. das vermindert zumindest die gefahr von versehentlichen aktionen. den datenzugriff kannst du über einen einzelnen folder in verbindung mit access permissions regeln. aber hinsichtlich des virenschutzes könnte es sein, dass du um eine physische trennung nicht herumkommen wirst, falls du seitens der firewall nicht die möglichkeit hast, die das risiko zu senken.