Про время в AD...
 

Все сервера в лесу берут время с основного конт домена (там же на нем можно настроить синхронизацию с каким либо другим сервером в интернете) , если такую же синхронизацию времени настроить на дополнительном контроллере домена не будет ли глюков, так он еще время синхронизирует и с основным контроллером?

Если синхронизация между серверами времени происходит по протоколу NTP, то волноваться нечего — там всё предусмотрено: и поиск петель в цепочке синхронизации, и обнаружение фальшивых источников (при наличии достаточного количества истинных).