ฉันต้องการ MS Active Directory จริงๆหรือไม่ [ปิด]

ฉันจัดการร้านค้าของเครื่อง arround 30 เครื่องและเซิร์ฟเวอร์เทอร์มินัล 2 เครื่อง (หนึ่งการผลิตหนึ่งเครื่องสแตนด์บาย) ฉันควรปรับใช้ Active Directory ในเครือข่ายของเราหรือไม่

มีประโยชน์ใด ๆ หรือไม่ที่สามารถทำให้เกิดการดำรงอยู่ของเซิร์ฟเวอร์โฆษณาอื่นได้? เซิร์ฟเวอร์เทอร์มินัลของเราคือการทำงานอย่างเป็นอิสระโดยไม่มีบริการอื่น ๆ ยกเว้นแอพองค์กรของเรา

มีฟีเจอร์ที่ยอดเยี่ยมอะไรที่ฉันขาดหายไปหากฉันยังคงเรียกใช้โดยไม่มีโฆษณา

อัปเดต : แต่มีใครในคุณที่เปิดร้านค้าที่ประสบความสำเร็จโดยไม่มีโฆษณาหรือไม่?

สำหรับ 30 เครื่อง? มันเป็นตัวเลือกทั้งหมด

ฉันจัดการสถานที่ขนาดใหญ่หลายแห่ง (30 ~ 125 ระบบ / เวิร์กสเตชันต่อสถานที่โดยเฉลี่ย) ทำงานโดยไม่ต้องโฆษณาโดยใช้ Samba และสคริปต์ชุด / autoit พวกเขาทำงานได้ดีและนอกเหนือจากการอัปเดตซอฟต์แวร์แปลก ๆ ที่ทำให้เกิดปัญหาแล้ว

การใช้ Active Directory นำข้อดีมาสู่เครือข่ายของคุณหลายอย่างที่ฉันนึกถึงได้:

• การจัดการบัญชีผู้ใช้ส่วนกลาง
• การจัดการนโยบายแบบรวมศูนย์ (นโยบายกลุ่ม)
• การจัดการความปลอดภัยที่ดีขึ้น
• การจำลองข้อมูลระหว่าง DC

เห็นได้ชัดว่าผลประโยชน์เหล่านี้ยังนำมาซึ่งค่าใช้จ่ายและจำเป็นต้องใช้เวลาและเวลามากในการตั้งค่าสภาพแวดล้อมของโฆษณาโดยเฉพาะอย่างยิ่งถ้าคุณมีการตั้งค่าที่มีอยู่แล้วอย่างไรก็ตามประโยชน์ของการจัดการแบบรวมศูนย์ .

การตอบสนองแบบ "ขับรถ" บางส่วน ...

1- ถ้าคุณใช้ Exchange สำหรับอีเมลต้องมีโฆษณา คุณน่าจะไม่ได้ใช้ Exchange หรือคุณจะรู้ว่า แต่ฉันรวมไว้สำหรับผู้ที่อาจพิจารณาเรื่องนี้

2- โฆษณาจัดการระบบ "การพิสูจน์ตัวตนแบบรวมศูนย์" คุณสามารถควบคุมผู้ใช้กลุ่มและรหัสผ่านได้ในที่เดียว หากคุณไม่มีโฆษณาคุณอาจต้องตั้งค่าผู้ใช้แยกต่างหากในเซิร์ฟเวอร์เทอร์มินัลแต่ละเครื่องหรือมีผู้ใช้ทั่วไปในแต่ละเครื่องเพื่อการเข้าถึงและใช้ความปลอดภัยในแอปพลิเคชัน

3- หากคุณมีเซิร์ฟเวอร์ Windows อื่น ๆ AD อนุญาตให้มีการรักษาความปลอดภัยทรัพยากรในเซิร์ฟเวอร์เหล่านั้นในที่เดียว (AD)

4- โฆษณารวมถึงบริการอื่น ๆ (DNS, DHCP) ซึ่งจะต้องมีการจัดการแยกต่างหาก ฉันสงสัยว่าคุณอาจไม่ได้ใช้หากเซิร์ฟเวอร์ Windows เดียวที่คุณมีคือเซิร์ฟเวอร์เทอร์มินัล

5- แม้ว่าไม่จำเป็นต้องมีประโยชน์ในการมีเวิร์กสเตชันในโดเมน สิ่งนี้ช่วยให้ความสามารถในการลงชื่อเข้าใช้ครั้งเดียวบางส่วน (ไม่ครอบคลุม) รวมถึงการควบคุมและการจัดการที่สำคัญของเวิร์กสเตชันผ่าน "นโยบายกลุ่ม"
-> ตัวอย่างเช่นผ่าน GP คุณสามารถควบคุมการตั้งค่าโปรแกรมรักษาหน้าจอได้โดยต้องการให้โปรแกรมรักษาหน้าจอล็อคเวิร์กสเตชันหลังจาก x นาทีและต้องใช้รหัสผ่านเพื่อปลดล็อก

6- คุณอาจเป็นผู้สมัครที่ดีสำหรับ Microsoft Small Business Server หากคุณต้องการอีเมลการแชร์ไฟล์การเข้าถึงระยะไกลและการให้บริการเว็บ

ฉันจดบันทึกเกี่ยวกับการมีสองโดเมนคอนโทรลเลอร์ หากคุณมี DC เพียงอันเดียวและล้มเหลวคุณก็จะได้รับความเจ็บปวดจากการเข้าถึงสิ่งต่าง ๆ เป็นไปได้ (ฉันเชื่อว่า) เป็นไปได้ที่จะให้เซิร์ฟเวอร์เทอร์มินัลเป็นตัวควบคุมโดเมนด้วยเช่นกัน แต่ฉันสงสัยว่าหลายคนจะไม่แนะนำ ในเครือข่ายขนาดเล็กเช่นคุณภาระงาน DC จะไม่มีนัยสำคัญดังนั้นจึงอาจทำงานได้

แก้ไข: ในความคิดเห็น s.mihai ถามว่า: "เป็นความสนใจของพวกเขาที่จะทำให้เราซื้อทุกอย่างที่ทำได้ แต่ฉันจะโอเคได้ไหมถ้าไม่มีโฆษณาบัญชีท้องถิ่นไม่มีการแลกเปลี่ยน .... ?!"

เมื่อฉันอยู่ในรองเท้าของคุณฉันจะใช้โครงการ TS เป็นข้อแก้ตัวในการเพิ่มโฆษณาเพื่อผลประโยชน์โดยเฉพาะอย่างยิ่งในเวิร์กสเตชัน แต่ดูเหมือนว่าจิตใจของคุณถูกสร้างขึ้นและคุณต้องการปกปิดดังนั้นนี่คือ

แน่นอนคุณสามารถตกลงได้โดยไม่ต้องโฆษณา

ปิดส่วนหัวของฉัน:

1. ผู้ใช้จากส่วนกลางและการจัดการด้านความปลอดภัยและการตรวจสอบ
2. นโยบายกลุ่มคอมพิวเตอร์ส่วนกลาง
3. การปรับใช้ซอฟต์แวร์ (ผ่าน GPO)

โฆษณาจำเป็นสำหรับแอปพลิเคชันเช่นการแลกเปลี่ยน

MS มีสมุดปกขาวสำหรับคุณในหัวข้อนี้

โฆษณามีคุณสมบัติมากมายที่คุณอาจพบว่ามีประโยชน์มาก สิ่งแรกคือการตรวจสอบจากส่วนกลาง บัญชีผู้ใช้ทั้งหมดได้รับการจัดการในที่เดียว ซึ่งหมายความว่าคุณสามารถใช้ข้อมูลรับรองของคุณกับเครื่องใดก็ได้ในสภาพแวดล้อม

รายการอื่นที่อนุญาตให้มีความปลอดภัยที่ดีกว่าสำหรับการแบ่งปันทรัพยากร กลุ่มความปลอดภัยมีประโยชน์มากสำหรับการกำหนดเป้าหมายการเข้าถึงทรัพยากรเช่นการแชร์ไฟล์

นโยบายกลุ่มช่วยให้คุณบังคับใช้การตั้งค่าในจำนวนเครื่องหรือผู้ใช้ สิ่งนี้จะช่วยให้คุณสามารถกำหนดนโยบายที่แตกต่างกันสำหรับผู้ใช้ที่เข้าสู่เซิร์ฟเวอร์เทอร์มินัลและผู้ใช้ที่ล็อกอินเข้าสู่เวิร์กสเตชันของพวกเขา

หากคุณตั้งค่าเซิร์ฟเวอร์เทอร์มินัลของคุณอย่างถูกต้องและขึ้นอยู่กับแอปพลิเคชันการตรวจสอบจากส่วนกลางสิทธิ์การเข้าถึงผ่านกลุ่มรักษาความปลอดภัยและนโยบาย GPO จะช่วยให้คุณใช้เซิร์ฟเวอร์เทอร์มินัลทั้งสองในสไตล์คลัสเตอร์มากกว่า เวลานี้จะช่วยให้คุณสามารถขยายเซิร์ฟเวอร์เทอร์มินัลได้มากขึ้น (สไตล์ N + 1) เมื่อความต้องการทรัพยากรเพิ่มขึ้น

ข้อเสียคือคุณคิดเพียง 1 Domain Controller เท่านั้น ฉันขอแนะนำอย่างยิ่ง 2 เพื่อให้แน่ใจว่าคุณไม่มีจุดล้มเหลวจุดเดียวสำหรับ Active Directory Domain

ดังที่ได้กล่าวไว้ในความคิดเห็นหลายประการ ค่าใช้จ่ายน่าจะเป็นปัจจัยสำคัญที่นี่ หากผู้ถามเดิมมีการตั้งค่าการทำงานอย่างเต็มที่อาจเป็นไปได้ว่างบประมาณของเขาในการนำฮาร์ดแวร์และซอฟต์แวร์มาใช้เพื่อสร้างสภาพแวดล้อมโดเมน Active Directory โดยไม่ต้องใช้กรณีที่คุ้มค่า หากทุกอย่างใช้งานได้โฆษณาก็ไม่จำเป็นสำหรับสภาพแวดล้อมในการทำงาน พวกเราที่เคยใช้มันในสภาพแวดล้อมขององค์กรในอดีต แต่เป็นผู้สนับสนุนที่แข็งแกร่งมาก นี่คือสาเหตุส่วนใหญ่เนื่องจากมันทำให้ผู้ดูแลระบบงานง่ายขึ้นในระยะยาว

ฉันเพิ่งย้ายเข้าร้าน (ค่อนข้างใหญ่ / ประสบความสำเร็จ) โดยไม่ใช้ MS AD แน่นอนว่าคุณพลาดการลงชื่อเข้าใช้ครั้งเดียวของ Microsoft / Windows แต่มีวิธีแก้ไขปัญหาอื่น ๆ เช่น Authentication Proxies (SiteMinder, webseal และอื่น ๆ ) สำหรับการจัดการผู้ใช้จากส่วนกลาง LDAP ใด ๆ (หรือ SiteMinder) อาจเป็นตัวเลือกเช่นกัน

ใช่คุณสามารถเป็นร้านค้าที่ประสบความสำเร็จโดยไม่มี (MS) AD คุณเพียงแค่ต้องหาทางเลือกอื่น

ฉันคิดว่าคำถามที่ใหญ่กว่านั้นคือทำไม

คุณออกจากบัญชีผู้ใช้แยกต่างหากเพื่อความปลอดภัยหรือไม่ ผู้ใช้ของแต่ละเครื่องใช้เพียงเครื่องนั้นหรือไม่

หากผู้ใช้รายเดียวกันจำเป็นต้องใช้เครื่องทั้งหมด AD จะให้ประโยชน์เหล่านี้แก่พวกเขา: หากการเข้าสู่ระบบในโดเมนพวกเขาเชื่อถือได้ในสถานที่ทั้งหมดที่พวกเขาและกลุ่มของพวกเขาเชื่อถือได้ หากพวกเขาเปลี่ยนรหัสผ่านมันจะเหมือนกันทุกที่ พวกเขาไม่จำเป็นต้องจำที่จะเปลี่ยนมันในเครื่องทั้ง 10 เครื่อง (หรือแย่กว่านั้นลืมมันไปและต้องการให้คุณรีเซ็ตมันสำหรับพวกเขาทุก ๆ สัปดาห์)

สำหรับคุณแล้วมันให้ประโยชน์ของการควบคุมสิทธิ์ส่วนกลาง / ส่วนกลาง หากคุณมีโฟลเดอร์ที่มีสิทธิ์พิเศษสำหรับกลุ่มและจ้างคนใหม่คุณเพียงแค่เพิ่มโฟลเดอร์เหล่านั้นลงในกลุ่มและดำเนินการ คุณไม่จำเป็นต้องเชื่อมต่อกับแต่ละเครื่องและสร้างผู้ใช้คนเดียวกันซ้ำแล้วซ้ำอีกและตั้งค่าการอนุญาต

เครื่องของผู้ใช้แต่ละคนจะอยู่ในโดเมนดังนั้นจึงสามารถควบคุมได้โดยโดเมน

ฉันคิดว่าประโยชน์ที่ใหญ่ที่สุดคือ GPO เมื่อพวกเขาลงชื่อเข้าใช้โดเมนเพื่อสามารถส่งนโยบายไปยังพีซีของพวกเขาที่สามารถปกป้องความปลอดภัยของเครือข่ายทั้งหมดของคุณ

ที่ถูกกล่าวว่าสำนักงานของฉันมีขนาดเล็ก (ประมาณ 15) และเราไม่มีแผนกไอทีอย่างเป็นทางการ ดังนั้นเรา (มากกว่า) ใช้ MS Groove เป็นโครงสร้างพื้นฐานของเราและไม่มีโฆษณาหรือเซิร์ฟเวอร์กลางใด ๆ เราใช้แล็ปท็อป

ในความคิดของฉันหนึ่งในที่ใหญ่ที่สุดคือการลงชื่อเพียงครั้งเดียว ในขณะที่ดูเหมือนว่าผู้ใช้ของคุณอาจไม่ได้สังเกตเห็นมันเป็นสิ่งที่ดีจากมุมมองของผู้ดูแลระบบ คุณมีรหัสผ่านเพียงอันเดียวในการติดตามและเมื่อมันมาถึงการเปลี่ยนคุณต้องทำเพียงจุดเดียวเท่านั้นไม่ใช่ 32 จุดมีหลายสิ่งที่คุณสามารถทำได้เพื่อจัดการสภาพแวดล้อมของคุณหากคุณไม่กลัวสคริปต์ .

ประโยชน์ของการโฆษณาที่กล่าวมาข้างต้นนั้นเห็นได้ชัดว่ามีค่าใช้จ่าย

ประโยชน์จากการโฆษณาลดลงถึง 2 ปัจจัยหากคุณไม่สนใจพวกเขาคำตอบคือ "ไม่"

• การจัดการแบบรวมศูนย์: ของผู้ใช้บัญชีคอมพิวเตอร์ล็อตการอัปเดตอัตโนมัติการปรับใช้ซอฟต์แวร์นโยบายกลุ่ม ฯลฯ (มิฉะนั้นฉันจะอธิบายเรื่องนี้ให้แน่ใจว่าคุณเข้าใจถึงผลกระทบของ "ความคิดเล็ก ๆ " ในเรื่องพื้นฐานตัวอย่างเดียว: บำรุงรักษาได้ประมาณ 100? 256?)
• รากฐานการขยายตัว: ผู้ควบคุมโฆษณา 2 คนดูเหมือนจะมากเกินไป (แม้ว่ายังจำเป็น) สำหรับเครือข่ายที่ 30 แต่พวกเขาก็เพียงพอสำหรับผู้ใช้ 1,000-1500 คนฉันเชื่อหรือไม่ ตั้งค่าอย่างเหมาะสมโฆษณาไม่จำเป็นต้องเปลี่ยนแปลงจนกว่าคุณจะมีขนาดใหญ่ขึ้น

ฉันคิดว่าคำแนะนำที่ดีที่สุดคืออ่านแท็กไดเรกทอรีที่ใช้งานได้ที่นี่ใน SF เมื่อกรอกข้อมูลแล้ว - เพื่อดูว่าคุณสามารถมองเห็นคุณสมบัติที่เพียงพอ (เช่น Hyper V พร้อมเซิร์ฟเวอร์ 2008) ที่จะเป็นประโยชน์ต่อร้านค้าของคุณหรือไม่

คำตอบที่ดีทั้งหมดที่นี่ ฉันจะยกนิ้วให้กับการมีสองตัวควบคุมโดเมนเช่นกัน ในสภาพแวดล้อมขนาดเล็กแม้วางทั้งคู่ไว้เป็น VM บนฮาร์ดแวร์ชิ้นเดียวกัน - ตกลง บางคนอาจพูดสอดในเรื่องนี้อย่างเป็นทางการมากกว่า แต่ถ้าคุณใช้ MS Hyper-V (เซิร์ฟเวอร์ 2K8) ในฐานะโฮสต์คุณอาจได้รับประโยชน์ด้านลิขสิทธิ์จาก OS?

การมีการลงชื่อเพียงครั้งเดียว (SSO) / การตรวจสอบแบบรวมจะช่วยให้คุณประหยัดมากในการสร้างบัญชีและการตั้งค่าการอนุญาตโฟลเดอร์ทั่วสถานที่ แน่นอนว่าการวางโฆษณาในสถานที่และการเพิ่มระบบและผู้ใช้ในโดเมนจะต้องใช้ความพยายาม

เจฟฟ์

คุณต้องมีการตรวจสอบและการจัดการแบบรวมศูนย์หากคุณต้องการขยายสภาพแวดล้อมนี้ แม้ว่าคุณจะไม่ตั้งใจจะพัฒนาสภาพแวดล้อมคุณจะเห็นการประหยัดเวลาแบบเรียลไทม์ในการดำเนินงานแบบวันต่อวันด้วยการใช้การรับรองความถูกต้องจากส่วนกลางและการอนุญาตในขณะนี้

หากเป็นสภาพแวดล้อมของ Windows โฆษณาคือการแก้ไขที่ง่าย แต่มีราคาแพง หากค่าใช้จ่ายเป็นจุดผสานสำหรับโฆษณาให้ใช้แซมบ้า

มันจะดูยากขึ้นในตอนแรก แต่คุณจะคุ้นเคยกับเครื่องมือและคุณจะมองย้อนกลับไปและสงสัยว่าคุณไม่จำเป็นต้องทำสิ่งนี้อย่างชัดเจน

คุณไม่จำเป็นต้องมีโฆษณา * * * *

บริษัท กฎหมายขนาดใหญ่ เรามีผู้ใช้ตั้งแต่ ~ 103 ถึง ~ 117 คนโดยมี 4 ไซต์ใน 3 สถานะในช่วง 2 ปีที่ผ่านมาโดยมีการหมุนเวียนของพนักงานฝึกงานและเสมียน เราดำเนินธุรกิจทั้งหมดด้วยกล่องเซิร์ฟเวอร์ 1 กล่องสำหรับโดมิโน / โน้ตย่อและการบัญชีเซิร์ฟเวอร์ w2k8 เฉพาะสำหรับซอฟต์แวร์พิเศษสองกล่อง Windows ทั่วไปโดยเฉพาะประมาณ 5 หรือ 6 กล่องสำหรับแอพต่างๆและ ... 2 กล่องลินุกซ์สำหรับไฟล์เซิร์ฟเวอร์ทุกความต้องการและ สำรองข้อมูลรวมถึงกล่องที่ 3 สำหรับไฟร์วอลล์ ทุกอย่างทำงานเหมือนกระต่ายพลังงานและเราไม่ได้มีปัญหามากมายกับผู้ค้าหรือซอฟต์แวร์

• แต่คุณอาจได้รับมันต่อไป Microsoft ตั้งใจว่าคุณจะเข้าร่วมกลุ่มและนอกเหนือจากการโยกย้ายออกจาก Windows ไปด้วยกันคุณก็ถูกกำหนดให้จบด้วยโฆษณาในระยะยาว

เหตุผลในการใช้ Active Directory

1. กลุ่มความปลอดภัยของผู้ใช้ที่มีการป้องกัน
2. การจัดการบัญชีผู้ใช้ส่วนกลาง
3. การจัดการนโยบายแบบรวมศูนย์ผ่านวัตถุนโยบายกลุ่ม
4. บริการที่มีการจัดการเพิ่มเติม
5. การจัดการความปลอดภัยที่ดีขึ้น
6. การจำลองโปรไฟล์
7. นโยบายการรับรองความถูกต้อง
8. ถังขยะรีไซเคิล AD
9. การเปิดใช้งาน CAL
10. การกระจายแพทช์
11. บริการโฆษณาทางเว็บ
12. รีเซ็ตรหัสผ่าน
13. เข้าสู่ระบบเดียวใน
14. การตรวจสอบสองปัจจัย
15. การรวมไดเรกทอรี
16. พาร์ติชันไดเรกทอรีแอพลิเคชัน
17. การแคชกลุ่มสากล
18. เข้าสู่ระบบโปรไฟล์ไฮบริด
19. ความสามารถในการขยายได้โดยไม่มีความซับซ้อน
20. สภาพแวดล้อมการพัฒนาที่มีประสิทธิภาพ
21. การทำซ้ำเซสชัน

ฉันใช้งานระบบที่ไม่มี Active Directory ได้สำเร็จ อย่างไรก็ตามคุณต้องชดเชยความต้องการผ่านเครื่องมือทางเลือก ฉันเปลี่ยนไปใช้โฆษณาที่ผู้ใช้ประมาณ 150 คนในสามองค์กรที่แตกต่างกัน