Existem apenas duas respostas corretas para esta pergunta.
Um subdomínio não utilizado de um domínio que você usa publicamente. Por exemplo, se sua presença pública na web for example.comseu AD interno, poderá ser chamado algo como ad.example.comou internal.example.com.
Um domínio de segundo nível não utilizado que você possui e não usa em nenhum outro lugar. Por exemplo, se sua presença na web pública for o example.comseu AD, poderá ser nomeado example.net desde que você tenha se registrado example.nete não o use em nenhum outro lugar!
Estas são suas únicas duas opções. Se você fizer outra coisa, estará se deixando aberto a muita dor e sofrimento.
Mas todo mundo usa .local!
Não importa. Você não deveria. Eu escrevi em blog sobre o uso de .local e outros TLDs inventados, como .lan e .corp . Sob nenhuma circunstância você deve fazer isso.
Não é mais seguro. Não são "práticas recomendadas", como algumas pessoas afirmam. E não tem nenhum benefício sobre as duas opções que propus.
Mas quero que o nome seja igual ao URL do meu site público, para que meus usuários estejam em example\uservez dead\user
Esta é uma preocupação válida, mas equivocada. Ao promover o primeiro controlador de domínio em um domínio, você pode definir o nome NetBIOS do domínio para o que quiser. Se você seguir meu conselho e configurar seu domínio ad.example.com, poderá configurar o nome NetBIOS do domínio examplepara que seus usuários façam logon como example\user.
Nas florestas e relações de confiança do Active Directory, você também pode criar sufixos UPN adicionais. Não há nada que o impeça de criar e definir @ example.com como o sufixo UPN principal para todas as contas em seu domínio. Quando você combina isso com a recomendação anterior do NetBIOS, nenhum usuário final verá o FQDN do seu domínio ad.example.com. Tudo o que eles vêem será example\ou @example.com. As únicas pessoas que precisam trabalhar com o FQDN são os administradores de sistemas que trabalham com o Active Directory.
Além disso, suponha que você use um espaço para nome DNS com horizonte dividido, o que significa que seu nome do AD é igual ao seu site público. Agora, seus usuários não podem acessar example.cominternamente, a menos que você os prefixe www.no navegador ou execute o IIS em todos os controladores de domínio (isso é ruim). Você também tem que selecionar doiszonas DNS não idênticas que compartilham um espaço para nome separado. É realmente mais complicado do que vale a pena. Agora imagine que você tem uma parceria com outra empresa e ela também tem uma configuração de DNS com horizonte dividido com o AD e a presença externa. Você tem um link de fibra particular entre os dois e precisa criar uma confiança. Agora, todo o seu tráfego para qualquer um dos sites públicos deles precisa atravessar o link privado em vez de sair pela Internet. Ele também cria todos os tipos de dores de cabeça para os administradores de rede dos dois lados. Evite isso. Confie em mim.
Mas mas ...
Sério, não há razão para não usar uma das duas coisas que sugeri. Qualquer outra maneira tem armadilhas. Não estou dizendo para você se apressar para alterar seu nome de domínio, se estiver funcionando e no lugar, mas se você estiver criando um novo AD, faça uma das duas coisas que recomendei acima.
corpnão é tão descritivo quantofoo.