在 AD DS 樹系中，您部署了一個唯讀網域控制站 (RODC1)。您需要讓 User1 成為 RODC1 上的本機管理員，同時遵循最小權限原則。您應該使用哪個工具？

ntdsutil.exe 是正確答案，因為它提供了管理 Active Directory 資料庫的命令列工具，其中包括了在 RODC 上指派本機管理員權限的功能。您可以使用 ntdsutil.exe 中的 roles 子命令，然後選擇 managedby 選項來指定哪些使用者或群組可以管理 RODC 上的本機帳戶。這符合最小權限原則，因為您只授予 User1 在 RODC1 上的管理權限，而非整個網域。 dsamain.exe 用於公開 Active Directory 資料庫作為 LDAP 伺服器，通常用於測試或復原目的，不適用於管理權限。net user 命令用於管理本機或網域使用者的帳戶，但無法直接在 RODC 上指派本機管理員權限。本機使用者和群組 (lusrmgr.msc) 是一個 MMC 嵌入式管理單元，用於管理本機電腦上的使用者和群組，但 RODC 上的本機帳戶管理方式不同於一般成員伺服器，無法直接透過此工具進行。