Блять, ActiveDirectory - такая зараза, завяжешься на нем - все, пиздец, никак уже ты эту срань не вытравишь, только с самого начала всю инфраструктуру перестраивать.

Я не хочу завязывать еще один сервис на этот АД.

Может попробовать на него какой-нибудь гондон сделать, вроде реплицироующегося с ним FreeIPA? Вроде годное решение. И потом постепенно, сервис за сервисом, юзер за юзером, машина за машиной, на него и перетечь?