Diseño de Esquema de directorio

Hola, estamos analizando el rediseño de nuestra red, debido a que estamos
por implementar 3 ambientes definidos (Desarrollo, Testing y Producción)
actualmente solamente tenemos 1 ambiente.
Todas las aplicaciones utilizan seguridad integrada, con lo que cada
aplicación valida que el usuario que intenta conectarse, pertenezca a un
grupo de AD determinado y si es así, ingresa.

El problema surge cuando pensamos en como manejar esto para el ambiente de
Testing.

Debemos implementar 3 dominios diferentes y replicar en Producción y
Testing los mismos usuarios y grupos?

Implementamos un solo dominio, dos?

Alguno podría orientarme acerca de lo que sería mas conveniente realizar?

Sinceramente es un proyecto interesante (y sobre todo largo).

Les agradecería me pasen, links, info, proyectos ya realizados,
consideraciones , etc que pudieran ayudarme en este proyecto.

Muchas gracias.