[DJ Mogarych]

Я бы просто поставил DC3 на новый сервер, потом поднял бы на нём WSUS и сделал бы его репликой WSUS на DC1.
Подождал бы пару дней, пока пройдёт синхронизация.
Потом сделал бы WSUS на DC3 самостоятельным, перевёл бы GPO Windows update на него.
Потом перекинул бы роли с DC1, понизил бы его, вывел из домена, и всё. Возможно, при понижении роли сами передаются, тут я бы почитал документацию, наизусть уже не помню.

Смысла в переименовании DC3 в DC1 не вижу никакого. Так бы и оставил. Роли потом можно вернуть с DC2, а можно и не возвращать. Особой разницы нет.

Ну и, конечно, с виртуализацией было бы проще. С виртуализацией один нюанс - на контроллерах домена нельзя делать снэпшоты. Вернее, делать-то можно, а вот откатываться на них крайне не рекомендуется. Что-то там изобрели в 2012 сервере по этому поводу, но я бы всё равно поостерёгся от таких трюков.