Primero que todo aclaro que nunca e hecho esto con mikrotik. Lo e realizado con switches ciscos para loguarme en ellos con credenciales del Active Directory.
Basicamente es utilizar RADIUS de mikrotik ligado al servicio de tu windows server NPS, que lo tienes que habilitar y configurar.
Tu router Mikrotik tiene que tener licencia creo Nivel 6 para la parte de user manager (radius).
Bueno te dejo unos links para que realices tu laboratorio y veas si te conviene.
https://www.youtube.com/watch?v=-NY78Roh8oA https://www.youtube.com/watch?v=HLmSdvC1nNc
Te comento que ya que lo logures pues puedes crear grupos de Active Dyrectory que digamos se llamen NIVEL_BASICO y en el AD le das derecho a ese grupo solo a ciertas paginas como correo o no se.. Y tambien creas grupos como REDES_SOCIALES y ahi metes las preciadas redes sociales y asi sucesivamente lo que quieras. Y cuando un usuario quieras que sea digamos lo basico mas redes sociales lo agregas a los dos grupos. Cosas como esas Yo hacia pero con FOREFRON TMG de Microsoft que ya esta descontinuado.
Y si quieres bloquear cierto tipos de paginas pues haces un grupo de AD y lo relacionas con una lista de paginas bloqueadas en el mikrotik y de igual forma.
Yo lo mezclaba con OPENDNS y asi lograba un meyor bloqueo... ejjejejej.