Как правильно снять бекап с контроллера домена?

Вот вам ссылка на рекомендации изготовителя (Microsoft). Там — целый раздел, ссылка ведет на первую статью раздела. Если испытываете трудности с английским, то эти рекомедации переведены (как-то) и на русский язык.
Резюме:

1. встроенного средства архивирования Windows для резервного копирования и восстановления AD достаточно, но в плане удобства использования коммерческие решения лучше;
2. одиночные контроллеры домена, не несущие других функций, восстанавливать нецелесообразно: никакой уникальной информации на них нет, и куда лучше просто добавить в AD новый КД с другим именем;
3. берегитесь средств снятия и восстанвления образов диска, не поддерживающих AD специально, как средства резервного копирования и восстановления, такие средства безопасно использовать только в системе с ровно одним КД в лесу (по крайней мере — для физических КД, с виртуальными полегче — многие гипервизоры поддерживают идентификатор VM, а AD обучена правильно реагировать на его смену — но можно нарваться); однако при нужде использовать их можно — надо только отдельно копировать и восстанавливать до подключения в сеть Состояние системы.

Контроллеры домена не бэкапят, а отказоустойчиво реплицируют — чтобы в случае выхода части нод из строя ничего не поломалось.

Сними образ диска rdrive image или clonezilla.

Встроенный бэкап у винды корявый же…

Нельзя бэкапить контроллер домена. Точнее можно, но когда вы решите его накатить назад — может отказаться, что ключи шифрования в домене обновились, а бэкап про них не знает. Кроме того, он еще и новые сгенерирует. Домен просто весь развалится. Не делайте так, делайте второй контроллер домена.