Как запретить выход из Active Directory?

Вывести комп из домена может локальный админ, доменный админ и тот кто компьютер вводил в домен

Возможно у вас в групповой политике даны разрешения. Или как вариант на OU, где находится компьютер в оснастке ADUC, даны явные разрешение группе "Пользователи домена" или вложенной группе на изменение объекта компьютер. Где-то в этих двух местах ищите.