Administrative Gruppenmitgliedschaft sollte automatisiert zugewiesen und wieder entfernt werden.
Lösung per PowerShell mit "Invoke":

Invoke-Command -ComputerName <Computername>
-scriptBlock{Add-LocalGroupMember -Group "Administrators" -Member <Benutzername>}