Associação de domínio do Active Directory para um servidor colocado e suas VMs hospedadas

Question

Eu configurarei um único hardware para ser colocado em um data center para hospedar vários convidados do Hyper-V, todos com o Windows Server 2012 instalado como o sistema operacional. Estarei gerenciando e monitorando os aplicativos e VMs do meu escritório, onde só tenho dois PCs executando o Windows 8.

Neste momento, não tenho domínios do Active Directory instalados no escritório, pois não faz sentido para dois computadores. Mas ter quase 10 servidores remotos para gerenciar me faz pensar nas vantagens de ter o AD DS e unir minhas VMs nelas para um gerenciamento e monitoramento mais fácil e seguro.

Geralmente, minha pergunta é como e onde devo implantar o controlador de domínio. Não posso ter uma conexão muito rápida e confiável entre meu escritório e o data center, portanto, quero que o servidor continue funcionando quando meu escritório não puder se conectar. Estarei usando VPN para conectar ao servidor do meu escritório (não há IPv6 disponível para o DirectAccess). Então, minha lógica me diz que eu deveria (pelo menos) ter um controlador de domínio no servidor colocado.

Várias perguntas específicas me vêm à mente:

1. Devo implantar o AD DS no host ou em uma VM? Eu realmente gostaria que o Host servisse APENAS a função Hyper-V para fins de isolamento e gerenciamento.
2. Devo entrar no sistema operacional do host para o domínio? Não é arriscado se, por algum motivo, a VM com a função do AD DS não for iniciada?
3. E a redundância do AD DS? Faz sentido ter uma SEGUNDA VM atuando como controlador de domínio de backup?!
4. Sei que juntar meus PCs do escritório ao Controlador de Domínio remoto causará alguns problemas por causa da conectividade, portanto, devo deixar os PCs do escritório como um grupo de trabalho ou implantar um DC local que replique o original?

Devo observar que poderei obter acesso físico à minha máquina do servidor em uma viagem de 2 ou 3 horas, caso necessário, a qualquer momento durante a operação.

    

Answer 1

Should I deploy the AD DS on the Host or on a VM? I would really like the Host to ONLY serve the Hyper-V role for isolation and managability purposes.

Sem dúvida, seu host não deve estar executando o AD DS. Definitivamente, crie um controlador de domínio virtual.

Should I join the Host OS to the domain? Isn't it risky if for some reason the VM with the AD DS role doesn't start?

Pessoalmente, eu não faria. Com um único host, não acho que você terá vantagens e, devido à sua falta de redundância do AD, você está criando um único ponto perigoso de falha, como você apontou. Esta resposta muda quando você está sendo dimensionado e tem uma infra-estrutura AD decente. Além disso, certifique-se de que seu Host esteja configurado com IP e DNS estáticos.

What about the AD DS redundancy? Does it make sense to have a SECOND VM act as backup domain controller?!

Sim, mas o que faz um muito mais sentido é ter um controlador de domínio secundário em um host diferente ou ter um controlador de domínio físico separado. Eu estou supondo que você não tem o luxo para uma segunda VM é melhor do que nada, mas esteja ciente de que uma falha de host ou armazenamento poderia deixá-lo em um lugar ruim. Verifique se sua estratégia de backup está correta.

Eu não vou sentar e dizer "VOCÊ NÃO DEVE FAZER ISSO", mas você precisa estar ciente de quão frágil tudo estará em um host.

Should I leave office PCs as a work group, or deploy a local DC which replicates the original one?

Isso é realmente com você - o último é uma solução perfeitamente aceitável se você configurar seus Sites adequadamente para que o AD saiba que há uma WAN entre eles. Mas você não diz qual a relação que os servidores do DC têm para você. Se você não vai obter nenhum benefício real com isso, pode estar apenas criando um trabalho para si mesmo.

Embora , isso serviria para ser um DC físico redundante, o que seria legal.