在您部署了只读域控制器 (RODC1) 的 AD DS 林中，您需要使 User1 成为 RODC1 上的本地管理员，同时遵循最小权限原则。您应该使用哪个工具？

正确答案是 ntdsutil.exe。ntdsutil.exe 工具允许您管理 Active Directory 数据库，包括授权用户在只读域控制器 (RODC) 上拥有本地管理员权限。通过使用 ntdsutil.exe "local roles" "add <username <RODCname" 命令，您可以精确地将 User1 添加为 RODC1 上的本地管理员，这符合最小权限原则。 dsamain.exe 用于将 Active Directory 数据库作为轻型目录服务 (LDS) 实例运行，与管理 RODC 上的本地权限无关。net user 命令用于管理本地计算机上的用户账户，但 RODC 上的本地账户管理方式不同，因为它不直接存储可写账户。本地用户和组 (lusrmgr.msc) 是一个图形工具，用于管理本地计算机上的用户和组，但它不能直接用于管理 RODC 的本地管理员组，因为 RODC 的本地安全账户数据库是只读的，并且其本地管理员组的成员资格是通过 Active Directory 委派来管理的。