когда в сомнении, используйте монитор процесса. Я решил много проблем благодаря ему, должен быть установлен по умолчанию как один из системных инструментов.
Без контроллера домена.
В качестве контроллера домена следует использовать только контроллер домена, на нем не должно быть ничего другого. Это уменьшает возможности атак для программ, которые могут быть уязвимыми, снижает риск ошибочного обновления для программы, вырывающей ваш DC, а WSUS может занимать много места в зависимости от того, какие обновления вы выбрали. Лучшие практики или нет, я бы никогда не стал устанавливать дополнительные роли на DC. ADDS, DNS и DHCP, вот и все.