[winbond]

Алгоритм тут один (практически):
1) поставить второй контроллер (чистый), проверить репликацию и прочее (время, DNS, сеть), если поехало - идём дальше
2) вычистить первый
3) проверить на время, репликацию и днс
4) вынести первый, поедет автомат на второй
5) при желании повторить, в обратку

6) ОНО же ПЕРВОЕ. Нельзя на DC что-то ещё ставить. Нельзя!!!! Неважно насколько загружен сервер. НЕЛЬЗЯ! Вынесите на ВМ. Можно. Но всё равно ставить что-то в диси - упаси ктулху, если у вас нет хотя бы трех-пятилетнего опыта работы с АД. Нормального повседневного опыта, а не как у моего предшественника - раз в месяц.

7) Обязательно подразумевается DHCP, ибо заколебетесь статики править при числе клиентов более 20-30.
8) TMG и DC - отдельный случай. Это проблема TMG. Решается.

Могу пояснить пункты, хотя что ещё тут пояснять - не вижу особо, кроме п.8. Либо вы сисадмины, либо - нет.