หากร้านค้า Windows ย้าย“ ทุกอย่าง” ไปยังคลาวด์จำเป็นต้องใช้ Active Directory หรือไม่

สละคำถามนี้: ฉันต้องการ MS Active Directory จริงๆหรือไม่ ในทิศทางใหม่สำหรับปี 2014

คำนึงถึงโครงสร้างพื้นฐาน Windows พื้นฐาน:

• ตัวควบคุมโดเมน
• แลกเปลี่ยนปี 2007/2010/2013
• Sharepoint
• SQL
• ไฟล์เซิร์ฟเวอร์ / เซิร์ฟเวอร์การพิมพ์
• AD Integrated DNS
• โฆษณาอุปกรณ์ภายนอกที่ได้รับการรับรองความถูกต้องแล้ว (สมมติว่า 802.1X สำหรับเครือข่ายและอาจมีการกรองเนื้อหา ฯลฯ )
• ฟังก์ชั่น "การดูแลระบบ" ที่รับรองความถูกต้องของ AD / LDAP ในแอพ / ฮาร์ดแวร์ / ฯลฯ
• บางทีบางสิ่ง KMS
• โยนใน CA หากคุณต้องการ
• แอพที่ปลูกในบ้าน
• แอพของ บริษัท อื่น

ทีนี้มาดูกันแล้วตัดสินใจว่าเราจะไปก้อนเมฆกัน เราได้ทำสัญญาให้ย้าย Exchange / Sharepoint / File Services ไปยัง Office 365 ตอนนี้ SQL จะถูกโฮสต์ด้วย Azure เราไม่จำเป็นต้องใช้ AD-DNS และใช้งานทุกอย่างผ่านเซิร์ฟเวอร์ Windows DNS อย่างง่าย เรายังคงต้องการ 802.1X และต้องการ SSO หากเป็นไปได้สำหรับแอพคลาวด์ต่างๆของเรา แอปที่ปลูกในบ้านและของบุคคลที่สามน่าจะยังคงอยู่ แต่มีความสามารถในการใช้ฐานข้อมูลผู้ใช้ภายในแทนการตรวจสอบโฆษณา

คำถามคือ ... เราต้องการ Active Directory จริงๆหรือไม่?

หรือมากกว่านั้นคือโฆษณาบนสถานที่หรือแม้กระทั่งโฮสต์ผ่าน Azure หรือคล้ายกัน (ADFS) หรือเรียกใช้ ADDS บน VM ที่โฮสต์ผ่าน Azure หรือที่คล้ายกัน สามารถ / เราควรมองไปที่สิ่งอื่นเช่นตัวเลือก SSO ของบุคคลที่สามเช่นhttp://www.onelogin.com/partners/app-partners/office-365/หรือคล้ายกันที่สามารถให้ฟังก์ชั่น SSO แม้ว่ามันจะง่ายเหมือน LastPass หรือคล้ายกันสำหรับผู้ใช้แต่ละคน?

ความต้องการที่ถูกต้องตามกฎหมายประเภทใดที่โฆษณาเติมเต็มหากทุกอย่างในคลาวด์

โครงสร้างพื้นฐานที่มี MS เป็นศูนย์กลางจะหายไปโดยไม่ต้องมีโฆษณาเลยหรือไม่ถ้าพวกเขาย้ายทุกอย่างที่เคยอาศัยโฆษณาไปสู่ข้อเสนอ SaaS ที่ไม่ได้ใช้การรับรองความถูกต้องของโฆษณา

ฉันจัดการเวิร์กสเตชันจำนวนมากโดยไม่มีโฆษณา ฉันมีเครื่องมือไฟฟ้า (โซลูชันการปรับใช้ Altiris) แต่ก็ยังเจ็บในบางสถานการณ์:

1. ผู้ตรวจสอบความปลอดภัยเข้ามาและบอกว่านโยบายรหัสผ่านเริ่มต้นของเราไม่ดีพอ ในการเปลี่ยนความซับซ้อนของรหัสผ่านและการหมดอายุเป็นต้นใน 5,000 เครื่องเราต้องเขียนสคริปต์ (ไม่สำคัญ) และกำหนดเวลาให้ทำงานบนเครื่องทั้งหมด (ขอให้โชคดีที่จับแล็ปท็อปโดยวิธี!)
2. การทำแผนที่แผนกเครื่องพิมพ์ แน่นอนว่าเราสามารถใช้หมายเลข IP ได้ นั่นหมายความว่าหากแผนก A และแผนก B เข้าสู่สงครามเครื่องพิมพ์การแก้ไขเกี่ยวข้องกับการหยุดเครื่องพิมพ์แล้วติดตามผู้กระทำผิดกลับไปที่เวิร์กสเตชันของตนเพื่อนำเครื่องพิมพ์ออกจากเวิร์กสเตชัน (ฉันคิดว่าคุณสามารถซื้อซอฟต์แวร์การจัดการการพิมพ์แทนได้) นอกจากนี้เครื่องพิมพ์ดังกล่าวยังอยู่ในเวิร์กสเตชันของพวกเขาในตอนแรกได้อย่างไรหากพวกเขาไม่ควรใช้มันและคุณจะป้องกันไม่ให้เกิดปัญหาขึ้นอีกครั้ง
3. มีคีย์รีจิสทรีสำหรับ WSUS คุณดังนั้นในทางเทคนิคไม่จำเป็นต้องโฆษณาสำหรับการจัดการแก้ไข อย่างไรก็ตามหากคุณใส่รหัสรีจิสตรีในภาพคุณต้องตรวจสอบและลบคีย์ (SusClientID และ PingID) มิฉะนั้นจะไม่มีการอัพเดตใด ๆ เลย หรือเพื่อให้เฉพาะเจาะจงและแม่นยำมากขึ้นหนึ่งในนั้นเท่านั้นที่จะได้รับการอัปเดต
4. ติดตั้งซอฟต์แวร์ คุณสามารถทำได้ด้วยเครื่องมือไฟฟ้า (LANdesk, Altiris และอื่น ๆ ) แต่นั่นคือเงินพิเศษ
5. ไดรเวอร์เครื่องพิมพ์ "พิษ" ฉันเห็นสองสามอย่างนี้ วิธีแก้ไขที่ดีที่สุดคือคิวการพิมพ์พร้อมไดรเวอร์ที่อัปเดต
6. การพิมพ์ Windows 7 จะมีความโกรธเกรี้ยวอย่างยิ่งใหญ่เว้นแต่เราจะตั้งค่าฟอเรสต์ / โฮสต์ที่ได้รับอนุญาตในจุดและข้อ จำกัด การพิมพ์ บางทีนี่อาจไม่ใช่เรื่องใหญ่หากเครื่องพิมพ์ทั้งหมดเป็นแบบ IP เท่านั้นตราบใดที่ User1 ไม่ต้องการใช้เครื่องพิมพ์ท้องถิ่นของ User2 หากปราศจากโฆษณาเทคโนโลยีของเราต้องใช้ gpedit บนเวิร์กสเตชันหรือในภาพต้นแบบ
7. คุณกำลังสมมติว่า Cloud Exchange แต่ฉันจะเพิ่มการโยกย้ายอีเมลและการเปลี่ยนแปลงโครงสร้างพื้นฐานขนาดใหญ่อื่น ๆ โดยไม่ต้องโฆษณาเป็นเรื่องเจ็บปวดในตอนท้ายของลูกค้า ฉันเขียนสคริปต์ "ลบซอฟต์แวร์จากการโยกย้ายที่ล้มเหลวเก่า / เพิ่มเวิร์กสเตชันไปยัง AD / โยกย้ายโปรไฟล์ผู้ใช้จากผู้ใช้ในท้องถิ่นไปยังโดเมน / ลดระดับผู้ใช้จากผู้ดูแลระบบไปยังผู้ใช้ขั้นสูง / ทำการเปลี่ยนแปลงไฟร์วอลล์" และวิ่งผ่าน Altiris (ที่ปรึกษาของ Microsoft แนะนำให้เราจ้าง temps ด้วย thumb drive จนกว่าฉันจะแสดงให้กังฟูของฉันเห็น)

นอกจากนี้ยังมีผู้จำหน่ายซอฟต์แวร์ที่มองคุณเหมือนคุณมีสามหัวเมื่อคุณบอกพวกเขาว่าคุณมีกลุ่มงานมากกว่าโดเมน Altiris ทำงานในเวิร์กกรุ๊ป แต่เทคโนโลยีเดสก์ท็อปของคุณไม่ได้รับอนุญาตให้เปลี่ยนรหัสผ่าน (โอเคโอเคพวกเขาสามารถเปลี่ยนรหัสผ่านของพวกเขาได้ แต่พวกเขายังต้องแกว่งโดยคิวบ์ของคุณและพิมพ์รหัสผ่านใหม่ของพวกเขาลงในเซิร์ฟเวอร์หรือบอกคุณว่ารหัสผ่านใหม่ของพวกเขาคืออะไร)

สิ่งที่ฉันได้รับคือ: คุณสามารถจัดการเวิร์คสเตชั่นจำนวนมากโดยไม่ต้องโฆษณา แต่คุณอาจต้องซื้อซอฟต์แวร์ทดแทนและแม้แต่กับซอฟต์แวร์ที่ดีคุณจะพบกับสิ่งที่เจ็บปวด

โฆษณาและ GPO จะยังคงจัดการเวิร์กสเตชัน หากไม่มีคุณกำลังชำระเงินให้กับแอปพลิเคชันบุคคลที่สามหรือเชื่อมั่นในผู้ใช้ของคุณจริงๆ

หากคุณกำลังทำอะไรบางอย่างเช่น BYOD อย่างเข้มงวดหรือแจกจ่าย VM ไร้สัญชาติเพียงอย่างเดียวสำหรับการทำงานนั่นจะไม่ได้ผลมากนัก

คลาวด์เป็นเพียง ISP อื่น

ในขณะที่ตื่นเต้นคลาวด์ใด ๆ ก็เป็นเพียงผู้ให้บริการเอาท์ซอร์สรายหนึ่งซึ่งเป็น บริษัท ที่พยายามเสนอความยืดหยุ่นสำหรับโครงสร้างพื้นฐานและการดำเนินงานของคุณซึ่งมักจะมีค่าใช้จ่ายที่ต่ำกว่า แน่นอนว่าคลาวด์มีเป้าหมายเพื่อลดความซับซ้อนของวัตถุประสงค์การบริการทั่วไปเช่นความสามารถในการปรับขนาดความน่าเชื่อถือและประสิทธิภาพ - แต่ก็ยังเป็นเพียงตัวเลือกการโฮสต์

คุณต้องการแพลตฟอร์ม Identity and Access Management และ Active Directory ตรงกับความต้องการในสถานที่หรือที่ผู้ให้บริการโฮสต์ของคุณ

การเปลี่ยนตำแหน่งทางกายภาพของบริการเครือข่ายของคุณจะไม่เปลี่ยนแปลงข้อกำหนดของคุณ

Active Directory สามารถขยายได้สูงถึงแม้จะมีระบบจำนวนมากที่ไม่ขึ้นอยู่กับ AD DS โดยตรงคุณยังสามารถใช้เพื่อจัดการส่วนประกอบโครงสร้างพื้นฐาน "แบบสแตนด์อโลน" ซึ่งโฮสต์ใน Cloud หรือที่อื่น ๆ

หากคุณยังคงใช้แพลตฟอร์ม Windows และมิดเดิลแวร์ของ Microsoft ต่อไประดับการสนับสนุนที่แท้จริงสำหรับการรับรองความถูกต้องของ Active Directory ใน Cloud จะมีผลต่อบริการโดเมน Active Directory มากกว่าในสถานที่

มีเมฆตลอดทาง

ยังกระตือรือร้นที่จะย้ายทุกสิ่งไปยังคลาวด์หรือไม่ ทำมัน! จำลองการทำงานของตัวควบคุมโดเมนของคุณไม่ใช่การหยุดแสดง มันเป็นอีกหนึ่งโซลูชั่นการเอาท์ซอร์ส :-)

ฉันคิดว่าคำถามที่แท้จริงคือคุณสามารถย้าย "ร้าน Windows shop" MS-centric ของคุณไปยัง Cloud ได้หรือไม่โดยไม่ต้องโฆษณา DS

ประเด็นสำคัญของปัญหานี้ขึ้นอยู่กับสิ่งที่คุณเห็นว่าโฆษณาทำเพื่อคุณ หากมีการใช้เป็นที่เก็บส่วนกลางสำหรับข้อมูลรับรอง SSO ที่ใช้เพื่อตรวจสอบสิทธิ์กับแอพคลาวด์เท่านั้นแน่นอนว่ามันสามารถถูกแทนที่ด้วยร้านค้าส่วนกลางอื่น

แต่โฆษณาสามารถทำได้มากกว่านั้น:

• การปรับใช้ซอฟต์แวร์

• การปรับใช้ระบบปฏิบัติการ

• การจัดการเครื่องพิมพ์

• การจัดการโปรไฟล์ผู้ใช้ (เช่นการใช้โปรไฟล์ข้ามเขตหรือUE-Vเพื่อให้ผู้ใช้สามารถเข้าสู่ระบบได้ทุกที่และเก็บข้อมูลท้องถิ่นและการปรับแต่ง) ฉันคิดว่าสิ่งนี้ยังคงสำคัญแม้ในขณะที่บริการทั้งหมดของคุณอยู่ในระบบคลาวด์เนื่องจากข้อมูลยังคงเป็นเครื่องท้องถิ่นและเครื่องไคลเอนต์ยังคงพังทลายหรือถูกแทนที่

• ความสามารถในการปรับขนาด: ฉันต้องการจัดการการจัดเตรียมและการจัดการบัญชีผู้ใช้นับพันบัญชีของฉันผ่านทาง ADUC & สคริปต์ PowerShell 'ท้องถิ่น' ฯลฯ มากกว่าหมดจดผ่าน Office 365

• การรวมเข้ากับแอปพลิเคชันที่ไม่ได้มาตรฐาน - เช่นเรามีระบบบัตรประจำตัวที่ใช้ RFID ซึ่งทำงานร่วมกับ AD และฉันไม่อยากลองพูดคุยกับ ADFS ที่ใช้ Azure

แน่นอนว่าสิ่งเหล่านี้ไม่ใช่สิ่งที่เกี่ยวข้องทุกครั้ง - การย้อนกลับความคิดเห็นของฉันเกี่ยวกับความสามารถในการปรับขยายคือธุรกิจขนาดเล็กที่มีผู้ใช้เพียงไม่กี่คนเท่านั้นที่สามารถซื้อ Office 365 หรือ Google Apps ได้อย่างแน่นอน ซุปเปอร์มาร์เก็ตที่ใกล้ที่สุดสำหรับแต่ละการจ้างใหม่หากพวกเขาคิดว่านี่เป็นสิ่งที่เจ็บปวดน้อยกว่าสำหรับพวกเขา

คุณสามารถ? ใช่. คุณต้องการที่จะ ฉันไม่คิดอย่างนั้น โซลูชันที่โฮสต์ทั้งหมดที่คุณกล่าวถึงสนับสนุน AD Federation และเนื่องจากคุณต้องการ SSO ทุกหนทุกแห่งเป็นวิธีเดียวในการทำให้สำเร็จซึ่งจะเป็นโฆษณา

และผลิตภัณฑ์อย่าง LastPass เป็นรหัสผ่านห้องนิรภัยไม่ใช่ SSO

นอกเหนือจากคำตอบที่ดีจริงๆแล้วฉันต้องการย้อนกลับคำถาม: อะไรคือจุดที่ไม่มี Active Directory หากคุณใช้ร้านค้า Microsoft คุณสามารถใช้และจัดการผลิตภัณฑ์ของ Microsoft ได้โดยไม่ต้องใช้ AD แต่พวกมันเพิ่งได้รับการออกแบบมาให้ทำงานกับมันและการรวม AD แบบเนทีฟจะดีกว่าการแก้ปัญหาใด ๆ ที่คุณสามารถทำได้

ความซับซ้อนน้อยลงหรือไม่ การไม่มีโฆษณาเพิ่มความซับซ้อนให้กับสภาพแวดล้อมของคุณจริงๆเพราะคุณต้องหาทางเลือกที่เหมาะสมสำหรับทุกสิ่งที่โฆษณาทำนอกกรอบ มีโฆษณาเพิ่ม ... อะไร มีตัวควบคุมโดเมนอยู่สองตัว (ซึ่งอาจเป็น VM ได้ดีดังนั้นจึงไม่ต้องการฮาร์ดแวร์เพิ่มเติม) ผู้ดูแลระบบ Windows รุ่นใหม่ทุกคนสามารถจัดการโฆษณาขนาดเล็กและผู้อาวุโสทุกคนสามารถจัดการโฆษณาขนาดใหญ่ได้ หากคุณมีความเชี่ยวชาญเพียงพอเกี่ยวกับผลิตภัณฑ์ของไมโครซอฟท์จะสามารถค้นหาและใช้วิธีการแก้ปัญหาที่ไม่ได้มีการโฆษณา, คุณจะแน่นอนมีฝีมือมากพอที่จะใช้มัน

ค่าใช้จ่าย? ค่าใช้จ่ายใด คุณได้กล่าวไปแล้วว่าคุณกำลังใช้งานระบบคลาวด์เต็มรูปแบบดังนั้น Azure VM เพิ่มเติมอีกสองสามรายจึงไม่สามารถสร้างงบประมาณจำนวนน้อยได้ ไม่ใช่แม้แต่สิทธิ์ใช้งาน Windows Server สองใบสำหรับ DC แบบฟิสิคัลจะได้รับสิ่งที่คุณใช้จ่ายในบริการออนไลน์อยู่แล้ว (ไม่ต้องพูดถึงสิทธิ์การใช้งาน Windows และ Office แบบไคลเอ็นต์ซึ่งคุณยังต้องการสำหรับผู้ใช้ทั้งหมดของคุณ)

TL; DR: โดยรวมแล้วฉันไม่เห็นจุดใด ๆ ที่ไม่มีโฆษณาเนื่องจากว่าเรื่องเล็กน้อยคือการนำไปใช้งาน (แม้แต่ในวงกว้าง) และคุณได้รับมากแค่ไหนจากการมีมัน

คุณไม่จำเป็นต้องโฆษณา แต่มันจะทำให้ชีวิตของคุณง่ายขึ้น ทั้งนี้ขึ้นอยู่กับขนาดของคุณให้แน่ใจว่าคุณมีเซิร์ฟเวอร์ 2 ตัวสำรอง 1 หลัก 1 สำรองมิฉะนั้นถ้าคุณสูญเสียเซิร์ฟเวอร์โฆษณาของคุณ (และมีเพียง 1) คุณจะต้องสร้างโดเมนใหม่เว้นแต่การสำรองข้อมูลของคุณเป็นของแข็ง