Ho davvero bisogno di MS Active Directory? [chiuso]

28

Gestisco un negozio di circa 30 macchine e 2 terminal server (una produzione, uno standby). Devo davvero distribuire Active Directory nella nostra rete?

Ci sono davvero dei vantaggi che potrebbero bilanciare l'esistenza di un altro server AD? Il nostro Terminal Server deve essere indipendente, senza altri servizi, ad eccezione della nostra APP aziendale.

Quali grandi funzionalità mi mancano se lo eseguirò ancora senza annuncio?

aggiornamento : ma qualcuno di voi gestisce un negozio di successo senza AD?

windows active-directory

— s.mihai
fonte

Come gestite la condivisione di e-mail e file?

— tomjedrz,

La posta elettronica viene gestita con una soluzione di posta elettronica ospitata (anche il nostro server Web è ospitato) POP e SMTP e l'accesso con Outlook Express. La condivisione dei file viene gestita con una cartella condivisa sul server di backup (è un backup a caldo, gli utenti cambiano solo l'indirizzo IP del server e quindi si collegano al sistema di backup)

— s.mihai

Come menzionato di seguito, è davvero utile avere altri 2 server come DC con i costi adiacenti: hardware, licenze, alimentazione ???

— s.mihai,

Come gestite le autorizzazioni utente con la condivisione di file? hai 30 account utente sulla scatola?

— Nick Kavadias,

6

Quindi, se una nuova persona inizia o qualcuno esce, è necessario passare attraverso tutte quelle macchine manualmente e correggere gli account? O almeno più che in un posto?

— Oskar Duveborn,

0

Per 30 macchine? È del tutto facoltativo.

Gestisco diverse posizioni di grandi dimensioni (30 ~ 125 sistemi / workstation per posizione in media) in esecuzione senza AD utilizzando Samba e script batch / autoit. Funzionano bene e, a parte gli strani aggiornamenti del software che hanno rotto le cose, sono stati senza problemi.

— voltaire
fonte

3

Wow, quella risposta è cambiata molto nel corso delle revisioni ...

— Chris S,

@ Chris S - eh, sì. L'ho notato anche io.

— EEAA,

1

Se potessi rimuovere il commento, lo farei. Non sono un grande fan di AD e lo uso solo se necessario. La formulazione della domanda originale è stata infine cambiata, rendendo la mia risposta (e un'altra) fuori tema e, peggio ancora, degna di grandi voti negativi da parte di persone che vedono l'AD come l'unica soluzione; Quindi ho tirato fuori le alternative e la retorica non più applicabili. Non sono un troll; quindi se le mie risposte sono così inutili da giustificare la marcatura come sbagliata, dovrebbero semplicemente essere cancellate.

— voltaire,

La domanda originale era sostanzialmente: ne ho davvero bisogno?

— voltaire,

32

L'uso di Active Directory offre numerosi vantaggi alla tua rete, alcuni dei quali mi vengono in mente:

Gestione centralizzata dell'account utente
Gestione centralizzata delle politiche (politica di gruppo)
Migliore gestione della sicurezza
Replica delle informazioni tra DC

Ovviamente questi vantaggi comportano anche un certo sovraccarico, e sono necessari un sacco di lavoro e tempo per configurare un ambiente AD, specialmente se si dispone di una configurazione esistente, tuttavia i vantaggi della gestione centralizzata che offre AD valgono la pena, secondo me .

— Sam Cogan
fonte

20

Alcune risposte "drive-by" ...

1- Se si utilizza Exchange per la posta elettronica, è necessario AD. Probabilmente non stai usando Exchange o lo sapresti, ma lo includo per coloro che potrebbero prendere in considerazione questo.

2- AD gestisce un sistema di "autenticazione centralizzata". Puoi controllare utenti, gruppi e password in un unico posto. Se non disponi di annunci AD, dovrai probabilmente configurare i tuoi utenti separatamente su ciascun terminal server o disporre di un utente generico su ciascuno per accedere e utilizzare la sicurezza nell'applicazione.

3- Se si dispone di altri server Windows, AD consente la protezione diretta delle risorse su tali server in un unico posto (AD).

4- AD include alcuni altri servizi (DNS, DHCP) che altrimenti devono essere gestiti separatamente. Sospetto che potresti non usarli se i soli server Windows che hai sono i server terminal.

5- Sebbene non sia necessario, è vantaggioso disporre delle workstation nel dominio. Ciò consente alcune funzionalità di single sign-on (non esaustive) nonché un controllo e una gestione significativi delle stazioni di lavoro tramite "criteri di gruppo".
-> Ad esempio, tramite GP è possibile controllare le impostazioni dello screen saver, richiedendo che lo screen saver blocchi la workstation dopo x minuti e richieda lo sblocco della password.

6- Potresti essere un buon candidato per Microsoft Small Business Server se hai bisogno di e-mail, condivisione di file, accesso remoto e servizio web.

In secondo luogo la nota sull'avere due controller di dominio. Se hai solo una DC e fallisce, sei nel vero dolore per avere accesso alle cose. È (credo) possibile che anche i server terminal siano controller di dominio, anche se sospetto che molti non lo consiglieranno. In una piccola rete come la tua il carico di lavoro DC sarà insignificante, quindi potrebbe funzionare.

EDIT: in un commento s.mihai ha chiesto: "è il loro interesse a farci comprare tutto ciò che possiamo. Ma posso stare bene senza AD? Conti locali, nessuno scambio ....?!"

Se fossi nei tuoi panni, userei il progetto TS come scusa per aggiungere AD per i benefici, in particolare sulle stazioni di lavoro. Ma sembra che la tua mente sia decisa e tu voglia una copertura, quindi eccola qui.

ASSOLUTAMENTE puoi stare bene senza AD.

— tomjedrz
fonte

Proprio sul posto. Avere e mantenere AD avrebbe bisogno di altri 2 server, poiché l'esecuzione di DC sul nostro TS è fuori discussione, l'ultima volta che ho verificato l'impostazione di un DC significherebbe che il PC funzionerebbe piuttosto lentamente, a causa della disabilitazione della cache, rallentamento dell'accesso al disco e alcune altre cose che non ho capito (ne ho parlato con i creatori della nostra app aziendale in esecuzione su TS)

— s.mihai,

Sono scettico, a meno che l'hardware TS non sia già sottodimensionato. Ho intenzione di chiedere!

— tomjedrz,

no, nessuna necessità di copertura, mi stavo solo chiedendo se valesse davvero il costo e sto facendo un bilancio. non volevo andare con l'idea: <i> "se funziona, perché cambiarlo" </i>

— s.mihai

2

Eseguito l'upgrade per la BOLD ASSERTION finale.

— Joseph Kern,

+1 a Joseph Kern - Grazie! Non è una mia raccomandazione, ma funzionerà.

— tomjedrz,

16

dalla cima della mia testa:

gestione e controllo centralizzati di utenti e sicurezza
criteri di gruppo di computer centralizzati
distribuzione software (tramite GPO)

AD è richiesto anche per applicazioni come lo scambio.

MS ha un white paper solo per te su questo argomento.

— Nick Kavadias
fonte

+1, duplicato esatto di quale sarebbe stata la mia risposta.

— squillman,

2

siamo stati tutti indottrinati dall'allenamento ms! bello da vedere

— Nick Kavadias,

è il loro interesse a farci comprare tutto ciò che possiamo. ma posso essere OK senza annuncio? conti locali, nessuno scambio ....?!

— s.mihai,

1

Puoi vivere senza, ma vuoi? Non averlo significa più lavoro di gestione per te. Come minimo avresti bisogno di un'altra licenza per Windows Server (il tuo backup TS potrebbe anche diventare un server AD per ridondanza?) Le piccole aziende tendono a dimenticare che il lavoro è più costoso del software

— Nick Kavadias,

10

AD ha molte funzionalità che potresti trovare molto utili. Il primo dei quali è l'autenticazione centralizzata. Tutti gli account utente sono gestiti in un'unica posizione. Ciò significa che è possibile utilizzare le proprie credenziali tra le macchine presenti nell'ambiente.

Un altro elemento che consente è una migliore sicurezza per la condivisione delle risorse. I gruppi di sicurezza sono molto utili per indirizzare l'accesso a risorse come le condivisioni di file.

I criteri di gruppo consentono di applicare le impostazioni su un numero di macchine o utenti. Ciò consentirebbe di impostare criteri diversi per gli utenti che accedono ai Terminal Server rispetto agli utenti che accedono alle proprie workstation.

Se i server terminal vengono configurati correttamente e in base alle applicazioni, l'autenticazione centralizzata, i diritti di accesso tramite i gruppi di sicurezza e le politiche degli oggetti Criteri di gruppo consentono di utilizzare entrambi i server terminal in uno stile più cluster rispetto alla configurazione corrente in cui si è inattivi tutti il tempo questo ti permetterà di scalare su più terminal server (stile N + 1) man mano che aumenta la necessità di risorse.

L'aspetto negativo è che stai pensando solo a 1 controller di dominio. Consiglio vivamente 2. Ciò garantisce che non si abbia un singolo punto di errore per il dominio di Active Directory.

Come menzionato in diversi commenti. Il costo sarà probabilmente un fattore significativo qui. Se l'interrogatore originale ha una configurazione completamente funzionante, potrebbe essere fuori dal suo budget portare l'hardware e il software necessari per sostenere un ambiente di dominio Active Directory senza un caso schiacciante per giustificare i costi. Se tutto funziona, AD non è certamente necessario per far funzionare un ambiente. Quelli di noi che lo hanno utilizzato in passato in ambienti aziendali sono tuttavia sostenitori molto forti. Ciò è in gran parte dovuto al fatto che rende il lavoro degli amministratori molto più facile a lungo termine.

— Kevin Colby
fonte

come menzionato in un altro commento, l'impostazione di 2 DC e altri 2 server non giustificherebbe i soldi richiesti per le licenze, l'hardware e l'alimentazione necessari per far funzionare quei 34/7

— s.mihai,

1

Sono scettico che sia richiesto hardware aggiuntivo.

— tomjedrz,

1

Il costo dell'hardware e del software è sicuramente un problema. Tuttavia, non può far sì che i suoi server terminal fungano da controller di dominio a causa del fatto che gli utenti che non fanno parte del gruppo Domain Admins non dispongono dei diritti per accedere a un controller di dominio. Questo sarebbe un grosso problema di sicurezza se non fosse così. È possibile concedere diritti di accesso sul controller di dominio ad altri utenti, ma non è supportato da Microsoft nella mia esperienza.

— Kevin Colby,

Perfino un Small Business Server fa uso di AD e per Servizi terminal a partire da SBS2008 richiederà ora 2 server in totale. I microsoft assumono che anche un singolo server con 5 utenti beneficia di AD. Direi che trarrai beneficio da qualsiasi directory globale anche nella tua casa privata in realtà - semplicemente NON DEVE essere AD, ma direi che dovresti usare QUALCHE directory globale per essere in grado di gestire gli utenti e avere una pista di controllo funzionante. E se stai già eseguendo Windows, AD sembra logico.

— Oskar Duveborn,

Anche il Foundation Server, che è quasi gratuito, 15 "userter edition" di Windows Server utilizza AD - e questo è pensato per le persone che pensano che SBS sia troppo.

— Oskar Duveborn,

6

Di recente mi sono trasferito in un negozio (relativamente grande / di successo) senza MS AD. Certo, ti perdi su Single Sign-On Microsoft / Windows ma ci sono altre soluzioni come i proxy di autenticazione (SiteMinder, webseal ecc.) Per quanto riguarda la gestione centralizzata degli utenti qualsiasi LDAP (o SiteMinder) potrebbe essere un'opzione.

Quindi sì, puoi essere un negozio di successo senza (MS) AD, devi solo trovare l'alternativa.

— kolonell
fonte

3

L'unica alternativa realistica a MS AD è probabilmente Samba con OpenLDAP. Continuo a non pensare che si possa battere la SM sul ROI anche se l'alternativa opensource è gratuita. Una scimmia cieca può installare AD!

— Nick Kavadias,

6

Potresti definire "grande negozio"? Stiamo parlando di sistemi 100-1000? Senza oggetto Criteri di gruppo (tramite AD) è necessario disporre di una tonnellata di entropia (ovvero sistemi con configurazioni diverse). Attualmente usi qualcosa per sostituire l'AD (diverso dal grasso per gomito)? Onestamente, mentre gestisco una rete Windows, sono troppo pigro per NON eseguire AD ...

— Joseph Kern,

Per me sembra reinventare un bycyle. Quale vera alternativa all'annuncio stai usando?

— Taras Chuhay,

1

Mi sembra che l'OP stia solo cercando qualcuno a sostegno della sua idea che AD non sia così utile come tutti lo fanno sembrare. Non c'è davvero un sostituto maturo per un "grande negozio" anche se immagino che il grande sia soggettivo.

— MDMarra,

1

@ Nick Kavadias: chi chiami una scimmia cieca ?? ;)

— GregD,

6

Penso che la domanda più grande sia: perché no?

Stai lasciando gli account utente separati per motivi di sicurezza? Gli utenti di ogni macchina usano solo quella macchina?

Se gli stessi utenti devono utilizzare tutte le macchine, AD offrirà loro questi vantaggi: Se si accede al dominio, si fidano di tutti i luoghi in cui si fidano di loro e dei loro gruppi. Se cambiano la loro password, è la stessa ovunque; non devono ricordarsi di cambiarlo su tutte e 10 le macchine (o peggio dimenticarlo e hanno bisogno che lo ripristini per loro, ogni due settimane).

Per te offre il vantaggio del controllo centrale / globale delle autorizzazioni. Se si dispone di cartelle con autorizzazioni speciali per gruppi e viene assunta una nuova persona, è sufficiente aggiungerle al gruppo e il gioco è fatto. non è necessario collegarsi a ogni macchina e creare lo stesso utente più e più volte e impostare le autorizzazioni.

Anche la macchina di ciascun utente sarà nel dominio, quindi può essere controllata dal dominio.

Penso che il più grande vantaggio, siano gli oggetti Criteri di gruppo quando accedono al dominio per inviare criteri al proprio PC in grado di proteggere la sicurezza dell'intera rete.

Detto questo, il mio ufficio è piccolo (circa 15) e non abbiamo un dipartimento IT ufficiale. Quindi usiamo (oltre) MS Groove come nostra infrastruttura e in realtà non abbiamo AD o server centrali; Siamo basati su laptop.

— John Christman
fonte

+1 per Groove! Ottimo software!

— p

5

Secondo me uno dei più grandi è il single sign-on. Anche se sembra che gli utenti finali probabilmente non se ne accorgano, è certamente una cosa carina dal punto di vista dell'amministratore. Hai solo una password da tenere traccia e quando si tratta di cambiarla devi farlo solo in un punto, non 32. Ci sono molte cose che puoi fare per gestire il tuo ambiente se non hai paura degli script .

— sysadmin1138
fonte

3

Soprattutto se desideri che gli utenti cambino le loro password ogni tanto. Questo è il motivo principale per cui siamo passati ad AD.

— Peter Turner,

Beh ... non è abbastanza buono per noi. Non abbiamo utenti che vagano per la nostra struttura e per quanto riguarda i nuovi utenti ... abbiamo un personale costante (non molti entrano / escono dalla nostra azienda)

— s.mihai

se stai solo dopo il single signon, potresti anche ottenere una soluzione LDAP significativamente più economica.

— gbjbaanb,

Ad eccezione di AD, si integreranno con le tue credenziali C + A + D?

— James Risto,

4

Il vantaggio di rinunciare all'AD è ovviamente il costo.

I vantaggi di AD si riducono a 2 fattori, se non ti interessa di loro, la risposta è "No".

Gestione centralizzata: di utenti, account di computer, lotti, aggiornamenti automatici, distribuzione di software, criteri di gruppo ecc. (Per timore di non semplificare eccessivamente questo aspetto, assicurarsi di comprendere gli effetti del "pensare in piccolo" in questioni fondamentali. Un singolo esempio: 30 indirizzi IP statici è mantenibile. Che ne dici di 100? 256?)
Base di espansione: 2 controller AD sembrano eccessivi (anche se ancora necessari) per una rete di 30, ma sono sufficienti per 1000-1500 utenti, credo? Impostato correttamente, AD non ha bisogno di essere modificato fino a quando non si diventa molto più grandi.

Penso che il miglior consiglio sia quello di esaminare il tag di active directory qui su SF mentre si riempie - per vedere se riesci a individuare abbastanza funzionalità (ad esempio Hyper V con server 2008) che gioveranno al tuo negozio per rendere utile l'acquisto.

— Kara Marfia
fonte

3

Non sono d'accordo sul fatto che due controller di dominio per qualsiasi rete degna di dominio (più di 5-10 computer, IMHO) possano mai essere eccessivi. Il secondo che vale la pena avere un DC, vale la pena averne due.

— gWaldo,

1

Hai ragione - è difficile credere che mi sia mai sentita al sicuro con una sola. ;)

— Kara Marfia,

2

Tutte le buone risposte qui. Metterò il pollice in alto per avere anche due controller di dominio. In un piccolo ambiente, mettere anche entrambi come macchine virtuali sullo stesso componente hardware sarebbe - OK. Qualcuno può probabilmente intervenire su questo in modo più autorevole, ma se usi MS Hyper-V (server 2K8) come host potresti avere alcuni vantaggi di licenza del sistema operativo?

Avere Single Sign On (SSO) / autenticazione unificata ti farà risparmiare così tanto lavoro nella creazione di account e nell'impostazione delle autorizzazioni per le cartelle ovunque. Ovviamente, mettere in atto l'AD e aggiungere i sistemi e gli utenti al dominio richiederà un certo sforzo.

Jeff

— Jeff Hengesbach
fonte

2

Hai bisogno di autenticazione e gestione centralizzata se intendi far crescere questo ambiente. Anche se non hai intenzione di far crescere l'ambiente, vedrai risparmi in tempo reale nell'operatività quotidiana implementando ora l'autenticazione e l'autorizzazione centralizzate.

Se si tratta di un ambiente Windows, AD è la soluzione semplice, ma costosa. Se il costo è il punto critico per AD, quindi implementare Samba.

All'inizio sembrerà più difficile, ma ti abituerai agli strumenti e ti guarderai indietro e ti chiederai come non fosse del tutto ovvio per te che dovevi farlo.

— Brian
fonte

1

NON hai bisogno di annuncio. *

Grande studio legale. Abbiamo variato da ~ 103 a ~ 117 utenti, con 4 siti in 3 stati negli ultimi 2 anni, con un fatturato di stagisti e impiegati. Gestiamo l'intera azienda con 1 box server per domino / note e contabilità, un paio di server w2k8 dedicati per software speciali, circa 5 o 6 box windows generici dedicati per varie app e ... 2 box linux per tutte le esigenze del file server e backup, oltre a una terza casella per un firewall. Funziona come il coniglio energizzante e non abbiamo avuto molti problemi con i fornitori o il software.

ma potresti averlo comunque. Microsoft intende che ti unirai al collettivo e, oltre a migrare da Windows del tutto, sei praticamente destinato a finire con AD a lungo termine.

— voltaire
fonte

Cosa succede con gli studi legali e Lotus Domino / Notes? Quasi tutti quelli che ho visto lo usano ...

— SilentW,

All'epoca era la "soluzione giusta", quindi fu ampiamente adottata, divenne mainstream e poi si trasformò in un'ancora per barche che nessuno amava più. È praticamente come va sempre la tecnologia ...

— voltaire

0

Motivi per utilizzare Active Directory

Gruppo di sicurezza dell'utente protetto
Gestione centralizzata dell'account utente
Gestione centralizzata delle politiche tramite oggetti delle politiche di gruppo
Servizi gestiti aggiuntivi
Migliore gestione della sicurezza
Replica del profilo
Politiche di autenticazione
Cestino AD
Attivazione CAL
Distribuzione delle patch
Servizi web AD
Reimpostazione della password
Single sign on
Autenticazione a due fattori
Consolidamento delle directory
Partizioni della directory dell'applicazione
Memorizzazione nella cache di gruppo universale
Accesso al profilo ibrido
Scalabilità senza complessità
Ambiente di sviluppo potente
Duplicazione di sessioni

Ho eseguito con successo un sistema senza Active Directory; tuttavia, è necessario compensare le richieste mediante strumenti alternativi. Sono passato ad AD con circa 150 utenti in tre diverse organizzazioni.

— LJones
fonte