Mit einer Ausnahme, dem SBS, schlägt Microsoft selber vor, ressourcenhungrige Serveranwendungen wie den SQL und den Exchange auf physikalisch getrennte Maschinen zu installieren, von einer Exchange-Installation auf einem DC rät Microsoft direkt ab. Also haben wir schonmal drei Server: DC, Exchange und SQL. Damit dem DC nicht allzu langweilig ist, kann man den noch als Fileserver verwenden, Printservices fressen auch im normalen Büroumfeld nicht die Leistung.
Ein aktiver IIS auf einem DC ist (wenn man nicht der absolute Security-Crack ist) ein nicht einzuschätzendes Risiko. Klassisch gehört der Webserver in eine DMZ, wenn er von aussen erreicht werden soll. Also auch separate Maschine.
Exkurs: Terminalservices (also WTS im Anwendungsmodus) auf einem DC ist auch nicht möglich (jedenfall nicht ohne massives Verbiegen von Sicherheitsrichtlinien), denn nur Domain-Admins dürfen sich interaktiv auf einem DC anmelden. Dies gilt auch für TS-User. Also sind entweder die User gleichzeitig Domain-Admins oder die entsprechende Richtlinie (die aus Sicherheitsgründen beim dcpromo automatisch aktiviert wird) hinterher wieder verbiegen.