na první větu ti můžu napsat jen velký

a dále: GPO jsou krásná věc, ale ve velkém korporátu se moc nepoužívají, protože doménové servery bydlí tisíce kilometrů od tebe v datacentru, ty máš stovky až tisíce jezdičů, kteří si doménové politiky sosnou jednou za sto let (dnes v době cloudu nemají ani potřebu se připojovat do VPN) a obecně nelze moc čekat, že ti několik desítek až stovek PC na pobočce bude spolehlivě tahat informace z domény. Je to paradox, ale GPO fungují spíše v malých a středních firmách, kde jsou max. desetitisíce zaměstnanců. Když jich máš pár set tisíc, je to spíše už problém.

ad customizace Windows: ano, právě na "filozofii" PS narážím. Je to skvělá hračka a DSC je jistě perfektní věc pro masovou správu. Ale představ si např. prostředí Citrixu, kde se ti masově přihlašují uživatelé, většina z prostředí tenkých klientů (takže potřebují i desktop). Customizace jejich prostředí probíhá až POTÉ, co se prvně přihlásí, tj. logon proces trvá neskutečně dlouho.

ad FF: no právě, musíš vytvořit vlastní balíček, který logicky nebude podepsaný. Rozšíření do FF se instaluje stále stejně, ale to platí pouze pro single usera. V případě že máš multiuser prostředí, musíš použít buď ruční instalaci do programového adresáře (což je z pohledu aktualizace takového procesu problém, a FF i extensions se updatuje pekelně často), nebo jej instaluješ jen pro konkrétního uživatele - a to je pak sxamozřejmě repetitivní úkol.

Kdybych to měl shrnout (protože toto se netýká jen FF), tak se filozofie vyvíjí od klasického principu "admin nastaví, uživatel(é) už jen používají" k "admin nastaví politiky, a uživatelé v roli lokálního admina je ad-hoc aplikují." Mně se takový přístup a paradigma nelíbí, protože jednak od userů vyžaduje aby měli admin práva, a pak je problém právě v tom multiuser prostředí.