Controlador de domínio primário para hospedagem na Web + cluster SQL

Question

Eu esperava receber alguns conselhos aqui em uma consulta de hospedagem na web. Estamos construindo um site de e-commerce que basicamente reside em 2 servidores da web (liderados por um balanceador de carga) e interagindo com um cluster SQL2008.

Nos negócios com empresas de hospedagem, alguns estão tentando nos vender uma caixa adicional que será usada como um controlador de domínio. Eles afirmam que é melhor design. Claro, os custos sobem também.

Eu quero entender melhor isso - o DC nos oferece um suporte melhor do ponto de vista de segurança. Se não temos isso, o que arriscamos perder?

    

Answer 1

Do ponto de vista de design e manutenção de segurança, ter todas as caixas em um domínio AD certamente tem vantagens: gerenciamento simplificado de contas de usuário e serviço, suporte a políticas de grupo, permissões centralizadas, comunicações seguras entre todos os componentes e provavelmente mais que eu estou ignorando.

No entanto, ele também adiciona sobrecarga a todas as transações - tudo passa pelo controlador de domínio para autenticação.

No final, você deve avaliar o custo adicional de um CD extra em relação aos benefícios de gerenciamento e segurança.

    

Answer 2

Pedantically falando, a menos que você esteja usando um controlador de domínio do Windows NT4, não existe mais um PDC .

Adicionar um controlador de domínio à mistura não aumentará a segurança, embora torne a autenticação um pouco mais fácil, mas se você precisar adicionar um controlador de domínio (por outros motivos), não o exponha à Internet. você faz, mantenha-o em um servidor separado. FWIW também é prática padrão ao instalar o diretório ativo para ter no mínimo dois controladores de domínio, caso contrário, a recuperação de desastre pode ser "interessante".

A partir das informações da sua pergunta, recomendo que você evite adicionar um CD. Na verdade, sugiro que você evite isso como uma praga.

Você pode querer considerar também o licenciamento. Eu não sei se isso é algo que você ou a empresa de hospedagem é responsável, mas se você está atualmente usando a edição da Web do servidor, você precisará atualizá-lo para a edição padrão para instalar o AD no (s) servidor (es) existente (s) o que também significa que você provavelmente precisará comprar uma licença de conector externo ou CALs suficientes para seus usuários. Isso não será um problema se você usar um controlador de domínio separado, no entanto.

    

Answer 3

Se não houver muita necessidade de autenticar várias conexões diferentes em diferentes contextos (também conhecidos como usuários) de um servidor para outro, sugiro que, embora um design de domínio seja a opção mais pura no papel, provavelmente não é realmente necessário para o que você está fazendo aqui.

Eu também concordaria com os comentários que você já fez - em particular os comentários de que, se você tiver um CD, ele deve ser uma caixa separada (máquinas virtuais diferentes), que não está exposta à internet, e que se você tiver um DC, você deve idealmente ter dois para fins de redundância. Nesse ponto, uma presença on-line simples e relativamente barata se tornou bastante mais complexa e cara, e você não fará nada que aproveite as vantagens da AD, o que também é difícil de justificar.

A única coisa que você pode considerar é a probabilidade de o número de servidores e a complexidade das interações entre esses servidores crescerem; Claramente, chega um ponto em que um domínio faz sentido e é muito mais fácil começar com o design certo do que mudar de mid-stream.