MS se ha esforzado mucho para eliminar 'Usuarios y grupos locales' de las herramientas de la GUI, e incluso si le hace cosquillas a lusrmgr.msc directamente, se queja de que el complemento no se ejecutará en un controlador de dominio.
¿La pregunta es, por qué no?" ¿Por qué no tiene sentido que un DC tenga grupos de seguridad locales?
Respuestas:
En resumen, los "usuarios locales" se convierten en "usuarios de dominio". Microsoft optó por permitir solo 1 repositorio de autenticación para 1 computadora. Cuando promociona una computadora a un controlador de dominio, el repositorio de autenticación local se utiliza para almacenar cuentas de dominio. Como ya no hay un conjunto de usuarios / grupos locales, etc., solo le quedan usuarios y cuentas de dominio. Honestamente, tener usuarios "locales" en un controlador de dominio realmente anula el propósito de tener un controlador de dominio en primer lugar.