ローカル管理者アカウントを保護する

サーバールーム（Windowsサーバー+ Linuxサーバー）にActive Directoryを設定しています。

緊急の場合に備えて、ローカル管理者アカウントはアクティブのままにしておく必要があります。

ただし、従業員がローカル管理者アカウントを使用し続けることを避けるために、ローカル管理者のすべてのパスワードを変更し、セキュリティで保護されたスペースに保管したい場合があります。

このような状況に対処するためのベストプラクティスは何ですか？このようなものがAD内に存在しますか、それとも追加のプラットフォームを探す必要がありますか？