Como você protege melhor tanto o host/jump box quanto as credenciais do administrador?
Estes são o que consigo pensar:
Restringir acesso de entrada à rede somente ao acesso RDP a partir dos seus servidores RDS e portas e endereços IP necessários para comunicação e gerenciamento de configuração do AD.
Configurar o AppLocker para restringir o software em execução nos jump boxes.
Exigir autenticação com cartão inteligente para login nos jumpboxes.
Adicionar licenças aos jump boxes para que mais de 2 administradores possam fazer login ao mesmo tempo.