リモートデスクトップサービスを実行しているWindows 2008 R2サーバー（以前はターミナルサービスを呼び出していたもの）。このサーバーは、ホストされたアプリケーションへのエントリポイントです。これを、サービスとしてのソフトウェアと呼ぶことができます。サードパーティのクライアントが接続して使用しています。
RemoteAppマネージャーを使用してRemoteApp .rdpショートカットを作成し、クライアントワークステーションに配布します。これらのワークステーションは、RDSサーバーと同じドメインにありません。ドメイン間に信頼関係はありません（存在しません）。ワークステーションとRDSサーバーの間に厳密に制御されたサイト間VPNがあり、サーバーへのアクセスがロックダウンされていると確信しています。
実行されているremoteAppは、独自の認証スキームを持つERPアプリケーションです。
問題？RemoteAppサーバーに接続するときに、すべてのエンドユーザーのADログインを作成する必要を回避しようとしています。実際、remoteAppを実行していて、彼らはそのアプリに対して認証を行う必要があるため、ADの資格情報を求めないようにしたいだけです。確かに、ERPログインにアクセスするためだけに使用するアカウントのADパスワード（および定期的な有効期限）の管理に巻き込まれて欲しくありません。
ただし、RemoteAppの.rdpファイルにADの資格情報を埋め込む方法はわかりません。そのレベルのRDSサーバーですべての認証をオフにしたくありません。
良いオプションはありますか？私の目標は、これをエンドユーザーにとって可能な限りシームレスにすることです。
明確な質問は大歓迎です。