![生产 Windows Web 服务器(IIS 和 SQL)应该在域中吗?](https://linux22.com/image/535587/%E7%94%9F%E4%BA%A7%20Windows%20Web%20%E6%9C%8D%E5%8A%A1%E5%99%A8%EF%BC%88IIS%20%E5%92%8C%20SQL%EF%BC%89%E5%BA%94%E8%AF%A5%E5%9C%A8%E5%9F%9F%E4%B8%AD%E5%90%97%EF%BC%9F.png)
我们有几个 Web 服务器和几个数据库服务器。到目前为止,它们都是独立的机器,不属于域。Web 服务器之间不通信,Web 服务器通过 SQL Auth 与数据库服务器通信。
我对将机器放在一个域中担心的是
- 增加了复杂性 – 这是另一个正在运行的“东西”,并且所做的事情可能会出错。
- 风险——如果域控制器出现故障,我是否会将其他机器置于危险之中?
但是,在某些情况下,将它们放在域中并共享凭据似乎很方便。例如,如果我想将一台计算机上的“服务”控制权授予另一台计算机(因为远程桌面掷骰子)我需要进入并在多台机器上分配权限 - 我相信 Active Directory 和域帐户的设置可以简化这一点。
我的问题是:我确信这里有些事情我没有考虑到。有最佳实践吗?
答案1
当然,权威人士可以澄清一些事情,但整个 StackOverflow 网络都在 IIS 服务器上运行,并在 Active Directory 域中具有 SQL 后端。我认为它运行良好。
- 增加了复杂性 – 这是另一个正在运行的“东西”,并且所做的事情可能会出错。
有时增加复杂性可以让你减少一些复杂性。特别是如果你担心扩展,拥有一个域可以大大简化添加服务器、更改配置和任何其他事情的工作。组策略和集中管理的脚本可以做很多事情来减轻你的生活。
- 风险——如果域控制器出现故障,我是否会将其他机器置于危险之中?
这就是为什么你有两个域控制器,并且不要让它们从互联网上可访问。如果有人入侵你的网站,你无论如何都会被攻击。这就是为什么让你的 AD 域成为只是如果可能的话,适合你的应用环境。
最后,微软设计了其环境以在 AD 中工作。当 AD 参与仲裁身份验证并鼓励使用安全协议时,服务器间通信会更轻松、更安全。
答案2
不只是想想 AD 的成本,想想它增加了什么
- 集中账户管理
- 设定能力并执行一致的安全政策
- 集中软件部署的能力
- 自动化实际操作系统安装的能力
所有这些都可以降低复杂性并提高在线网站的安全性——通过集中化,您可以更轻松地进行一致部署。
当然,这与正确/安全部署不同,但这确实意味着,一旦您弄清楚了正确/安全部署的含义,您只需在集中式操作系统映像和设置上正确操作一次,就可以将其一致地推送到新服务器。这对于扩展系统(如果需要)和创建与生产网络相同的测试/开发环境都很有用。
如果您的大多数问题都是由于错误造成的(对于我们大多数人来说,确实如此),那么 AD 可以使自动化和共享资源变得更容易实现,从而减少犯这些错误的机会。
出于上述原因(与 LAN 端不同的域),我们将所有服务器都放在我工作所在的域中。当然,这种方法也有风险和成本。您需要考虑两方面并做出平衡的决定。