В 2012 R2 подходящих механизмов нет.
В AD в Windows server 2016 появилось ограниченное по времени членство в группах (технически - ссылочные атрибуты с ограниченным врменем действия), и его можно использовать для решения вашей задачи: разрешения даются на группы,
а пользователи включаются в эти группы с ограниченным временем действия.
Штатное решение на базе этого механизма от Microsoft -
Privileged Access Management - весьма громоздко, оно требует дополнительного леса AD. Но если в варианте "для бедных" добавлять временных членов в группы вручную, через Powershell, то можно обойтись и одним лесом.
Слава России!
