[wertyg]

просто имея возможность локального входа, можно запустить неприятный эксплойт и повысить привилегии, а потом соответственно творить что хочешь, ведь ты домаинАдмин.) от того и не рекомендует Микрософт такие действия. но всё это на усмотрение конечного админа. также рекомендуют минимум два контроллера домена, а частенько такой возможности тоже нет.
так же хотел немного поправить - не резервный контроллер а дополнительный. если конечно мы говорим об АД2003, т.к. там все контроллеры равноправные, за исключением некоторых особенностей.)