☰

Active Directory 配置：有人可以解释一下相互冲突的信息吗？

tag-icon • tag-icon active-directory
Active Directory 配置：有人可以解释一下相互冲突的信息吗？

如果你看看Microsoft 最佳实践对于建立新的林/域，他们提出的一些建议与网上的其他建议相冲突，而且我曾经合作过的任何一家公司都没有遵循这些建议。

例如，最佳实践指定使用在 Active Directory 命名空间中向 Internet 机构注册的 DNS 名称，因为它们是全局唯一的。然后，他们建议在注册的 DNS 名称中添加前缀以创建新的从属名称。例如，如果 DNS 根名称是 contoso.com，则应创建 Active Directory 林根域名，例如 concorp.contoso.com ...

在很多地方，我都看到有人建议不要使用 Internet 注册名称，因为内部网络流量会路由到外部 IP，而且 DFS 共享也存在问题。我也很少看到公司使用“corp.company.com”命名域名。他们通常使用“company.com”或“company.local”之类的名称。

最后，最佳实践建议将根域留空以管理域，并创建单个全局子域。按照这种做法，将产生像“domain.corp.company.com”这样的域名，我从未见过这样的域名。

是否存在没有遵循最佳实践的原因，或者尽管遵循了最佳实践，但我没有正确查看其结构？

答案1

可惜我没能赶上派对，是吧？不管怎样，我还是会尝试一下。

我教授 MCSE 课程已有数年，微软在其各种培训材料之间的建议始终相当一致。

  • 不要使用不属于您的域名作为您的 Active Directory 域名（例如 microsoft.com）。

  • 不要对其他 DNS 服务器已经拥有权威性的域名使用 FQDN（例如 company.com）

  • 请对域名使用全球唯一的 FQDN（例如 ad.company.com、corp.company.com）。

我相信“.local” TLD“推荐”开始于 Windows Small Business Server 2003 时代。“.local” TLD 未被 ICANN 保留，尽管目前还不确定它是否会在互联网上“真正”使用（我相信 Zeroconf 协议也依赖于“.local” TLD）。

我曾经历过太多使用“company.com”作为 AD 域名的环境，因此不得不进行愚蠢而丑陋的黑客攻击，包括手动将 DNS 记录从 Internet DNS 服务器复制到支持 AD 的 DNS 服务器。我在这个网站上回答了大量问题，这些问题归结于这个糟糕的域名选择导致必须实施黑客攻击（必须运行 Web 服务器以重定向到每个 AD 域控制器上的“真实”的“company.com”网站等）。

我不知道为什么公司坚持使用“company.com”命名 AD 域。这只会带来问题。任何您应该这样做的理由很好，而且它“违背”了 DNS 的基本原则，即世界上只有一组 DNS 服务器应该对给定的 DNS 域名具有权威性。（我经常听到“UPN 后缀”的说法。例如，如果您希望用户拥有“@company.com”的 UPN 后缀，则可以这样做，而无需实际将域命名为“company.com”。如果您愿意，所有用户都可以拥有“@whitehouse.gov”UPN 后缀，无论域名是什么...）

我自己一直对“ad.company.com”有偏见。

“空根”域的想法纯粹是一种政治构想。最初（W2K 时间框架）微软宣称“空根”​​是一种在组织各部分之间隔离安全问题同时仍拥有单一 AD 基础架构的方法。幸运的是，他们已经放弃了这种态度（尽管他们不一定回去纠正所有错误的文档），因为已经证明 AD 林中任何域中的“域管理员”成员都可以相当轻松地成为“企业管理员”组的成员。

因此，如今“空根”实际上只用于政治目的。我认为它根本没有用处，因为它增加了不必要的复杂性（永远不要在单域环境可以做到的地方使用多域环境）并且不提供真实的优点。

如果您希望组织中的关注点之间实现安全隔离，则必须使用多林部署（这绝对是最无趣的环境，应不惜一切代价避免）。

答案2

您所描述的内容直接出自 MCSE 课程。

关于他们的最佳实践，需要记住的一件事是，他们正在谈论从大量实施 Active Directory 中得出的经验。

我不想假设太多，但根据你的问题，我猜你属于 SMB 领域？由于规模问题，并非所有这些最佳实践都一定适用于该领域。

关于 DNS 域名，选择“真实”域的建议可能是基于同时托管 Exchange 的 AD 林。这样的配置使两者都更易于管理。更好的方法是注册真实域，然后将 TLD 更改为 AD 的 .local。您的 AD DNS 域名将是 contoso.local，“真实”名称将是 contoso.com。然后，为 Exchange 的真实名称配置备用 SPN 后缀。听起来很麻烦，但值得这样做，因为不必处理裂脑 DNS 等。

至于如何处理林根域，他们的建议是基于更严格地划分林内对象的管理安全性。您可能有组织边界，要求某些部门/业务部门等为其域配备域管理员。还有其他好处，但这可能是最常见的好处。

答案3

我会告诉你我所遵循的原则......

  1. 对于域环境，请始终使用非互联网域名后缀， IE.lan或者。当地的- 由于 DNS，这很快就会变成一件大事。假设您的网站托管在其他地方，并带有几个子域，您的网站是 company.com，您的 AD 域也是 company.com。您的工作站寻找 www.company.com 来访问您的网站，但您的 AD DNS 响应“未找到”，因为它认为这是 company.com 的授权机构，而您在网络上没有名为“www”的机器。当您有 VPN 用户时，情况正好相反；您的 VPN 用户可以尝试访问 myserver.company.com，但 DNS 查找转到您的网站 DNS 服务器而不是 AD 服务器......您明白了。.lan 后缀可以缓解这种情况。
  2. 如果您知道最终会支持分支机构，那么将根域留空是合理的。如果不是，则没有理由增加额外的复杂性和额外的域控制器。

答案4

我的经验是，使用 corp.company.com 或 companycorp.com，这样就不在“正常”的 Web DNS 空间中了。这样，您有一天就可以真正上网了（但现在保留名称）。AD 可以持续很长时间……想想遥远的未来，也许您的机器可以在没有 VPN 的情况下在真正的互联网上进行身份验证。

实际上，我真正想要使用的（但遭到了拒绝）是某种 GUID 概念。我的公司已经改名两次，合并一次。AD 经历了这一切，现在我因为“旧”公司名称而备受关注，当我请求资源来更改它时，电话却出奇地安静。想想 IP 地址或以太网 MAC 地址……“ad12345.com”。您向标准机构请求一个唯一的名称。

当然，corp 可以是任何其他名称，但要注意国际化...记住“Nova”汽车名称问题。

我们使用了空根概念，但它并没有提供任何价值。事实上，从政治角度来看，它鼓励了更为复杂的多领域。

哦，有一家使用 corp 概念的公司是......microsoft.com。然而，它们针对各大洲运行单独的域名。

相关内容