Kds(kerberos) находится на контроллере домена или отдельные сервера разворачивают?

И как из AD попадают данные в keytab?