Hallo,
das ist abhängig davon was der Client alles machen soll / darf. Prinzipiell reicht für die Installation ein Benutzer der lokal Software installieren kann. Die Rechte sind dann abhängig von dem was du als "alles" definierst
Der Benutzer ist ja eigentlich erstmal für den Push und das OS-Deployment da. Daher sollte der Benutzer gegebenenfalls einen Domain-Join machen dürfen. Alternativ weniger Rechte und im Nachgang selbst machen.
Da hat denke ich jeder seinen eigenen Weg. Wir haben dafür einen extra Benutzer angelegt. Allerdings wird dieser manuell ausgewählt und ist nicht feste in der Software hinterlegt.
mfg Simon