我知道这个问题已经被问了好久了。
但我还是不太清楚。
我怎么看不清楚呢？
人们有时建议最好在物理硬件上安装 1 个 DC。（甚至微软也这么说）。还计划将 Exchange Server 和其他关键公司数据放在不同 VM 上的同一台物理机器上。我听说人们仍然可以突破客户系统并破坏每个虚拟机，这是真的吗？
那么虚拟化好吗全部域控制器？
编辑：尝试使我的问题更加切题。
关于我和我的处境
目前我是一名初级开发人员，正在努力学习更多有关系统管理的知识，因此我会在空闲时间帮助小公司。我会尽力帮助他们处理基础设施，例如规划、管理和设置新服务器/硬件。
我的一位同事问我是否可以虚拟化域控制器。
设置
他们目前的设置是 3 个服务器，每个服务器都有一定的作用。3
个服务器的角色：
- DC 和 Exchange 在同一台机器上
- 文件服务器
- CRM 和 Office 的终端服务器。
磁带驱动器负责备份 3 台服务器。
他们还有 3 台未接通电源的服务器，如果其中一台服务器发生故障，它们将充当其他服务器的临时替代品。
我告诉他们，如果这些服务器在被替换之前不会被使用，那就太浪费钱了。
因此他们与一家新的 IT 公司合作研究了一种新的 IT 概念。
新概念
2 台服务器采用 Hyper-V 虚拟化，采用主动/被动配置。虚拟化所有内容：
- 直流
- 交换
- 文件服务器
- 带有 CRM 和 Office 的终端服务器
这个概念似乎很好，但我心里有个想法可以Active Directory 的虚拟化存在一些问题。
我为何担心
我得出这个结论是因为我尝试在本地公司使用 FreeIPA（类似于 Active Directory），因为我们尝试集成一些 Linux 设备并寻求与 FreeIPA 同步。
我们在 Hyper-V 和 KVM 上虚拟化了 FreeIPA，时间同步服务出现了大量问题，因此我们的系统登录也出现了问题。
我还在整个互联网和 Microsoft 相关网站上搜索了有关此特定主题的内容，但每个链接都说仍然建议在物理硬件上运行 1 DC。
这是令我感到困惑的技术文章。
在每个域中维护物理域控制器。这可以降低虚拟化平台故障的风险，避免影响使用该平台的所有主机系统。
可能出现哪些风险？
虚拟化平台上可能出现哪些漏洞/漏洞/
其他问题？如果我们有 2 台虚拟化服务器（硬件相同，2 台 Dell Servers R520），漏洞/漏洞同时影响两台服务器的风险是否很大？
此外，我们仍在进行备份，这样如果遇到错误，我们仍然可以恢复所有内容。
无论如何，该公司之前没有冗余设置，他们说这不是他们最大的担忧。
他们不想丢失数据，也不想有任何安全风险。
我已经从 MDMarra 那里得到了 1 个很好的答案，他为我澄清了一些事情。
但他仍然表示，这更多的是可用性问题，而不是安全性问题，但当 Hyper-V 平台发生灾难性故障时，我仍然会丢失数据/存在安全漏洞。
也许我有点偏执，但随着越来越多的组件投入到某些硬件中，安全风险也会随之增加。
也许我需要更多的答案来正确解决我的问题，因为我仍然不会对任何客户说这是虚拟化的好方法一切。
答案1
建议使用物理 DC 并非出于安全考虑，而是为了提高可用性。如果发生灾难性的虚拟机管理程序故障（错误、漏洞等），并且您的虚拟化解决方案处于离线状态，您仍然需要该环境之外的至少一个 DC 来提供目录服务。
当然，完全可以实现 100% 虚拟化。有些人不会保留物理主机，而是拥有一个单独的管理集群，这样 DC 和生产数据集群都可以在那里运行，从而提供一定的多样性。如果组织在生产中使用 vSphere，在灾难恢复中使用 Hyper-V，那么他们可能会在灾难恢复中保留一个热 DC，并以此方式实现平台多样性。微软的路线仍然是保留一个物理 DC，但还有其他方法可以实现该建议的精神并实现 100% 虚拟化。
答案2
最初，我认为这个建议来自于虚拟机管理程序在时间准确性方面存在的问题（AD 需要 Kerberos 身份验证）。如果您处于中型环境中，也很容易出现意外的单点故障（物理主机、SAN）。
现在我认为最大的担忧是如果你无法登录 vCenter 该怎么办