¿Debo tener un DC físico, incluso después del servidor 2012?

30

En los días anteriores a Windows Server 2012, la recomendación parecía ser tener al menos un controlador de dominio físico sentado junto a sus DC virtualizados.

Una justificación para esto fue porque si sus hosts Hyper-V estaban agrupados, entonces requerían que un DC fuera contactable durante el arranque. Esto tiene mucho sentido para mí.

Sin embargo, a menudo escuché a la gente decir que todavía es importante tener un DC físico, incluso si no tiene una configuración en clúster (por ejemplo, en una configuración simple con un solo servidor Hyper-V que ejecuta un par de máquinas virtuales, una de los cuales es un DC). La justificación de esto parecía (y nunca podría estar seguro) de que todavía tendría un problema en el sentido de que cuando el host Hyper-V se inicia por primera vez, no hay DC presente en la red. Las credenciales almacenadas en caché significan que aún puede iniciar sesión, pero ¿qué pasa con todos esos bits que ocurren durante el arranque que significan que tener un DC cerca es beneficioso? ¿Es esto realmente un problema? ¿Existe realmente alguna operación que pueda ejecutarse soloen el arranque que causará un problema? ¿Alguna política de grupo, por ejemplo? Básicamente, lo que pregunto es si el argumento físico de DC solo retiene el agua cuando se trata de clustering, o ¿hubo (antes de 2012) un caso técnico significativo para ello sin clustering? Este artículo de Altaro (ver la sección "El mito del huevo y la gallina") sugiere que no hay necesidad, pero aún no estoy seguro.

Ahora a la segunda (y principal) parte de mi pregunta:

Windows Server 2012 introdujo varias características destinadas a abordar los problemas relacionados con la virtualización de controladores de dominio, que incluyen:

  1. ID de generación de VM : esto solucionó el problema de reversión de USN que significaba que las instantáneas (o más específicamente, volver a una instantánea) no eran compatibles / una idea realmente mala
  2. Bootstrapping de clúster : Esto abordó el problema de "huevo y gallina" que rodea al clúster de conmutación por error que mencioné anteriormente. El clúster de conmutación por error ya no requiere que haya un DC durante el arranque.

Entonces mi segunda pregunta es similar a la primera, pero esta vez para 2012+. Suponiendo que tanto el vDC como el host sean 2012+ y elimine la agrupación de la ecuación, ¿hay otros problemas como los mencionados anteriormente que significan que aún debería considerar un DC físico? ¿Debo seguir considerando tener un DC físico junto con mi host único, no agrupado 2012 / 2012R2 Hyper-V que tiene un único DC virtualizado? Escuché que algunas personas sugieren poner AD en el host de Hyper-V, pero no me gusta esa idea por varias razones (la caché de WB está deshabilitada para empezar).

Como nota al margen, mi pregunta asume implícitamente que tiene sentido que su host Hyper-V se una al dominio para mejorar la capacidad de administración. ¿Esta afirmación resiste el escrutinio?

ACTUALIZAR:

Después de leer algunas respuestas, se me ocurrió que podría expresar las cosas de manera ligeramente diferente para llegar al fondo de lo que estoy preguntando:

Incluso con las mejoras en 2012 y posteriores, el hecho sigue siendo que sin ningún DC físico o DC virtual en otro host, el host aún se inicia cuando no hay DC disponibles. ¿Es esto realmente un problema? En cierto sentido, supongo que es la misma pregunta (o muy similar) si eliminas completamente la virtualización de la imagen. Si inicia servidores miembro antes que cualquier DC regularmente, ¿es eso un problema?

dbr
fuente
44
Personalmente, nunca instalaría AD en su host Hyper-V. Tome todo lo relacionado con el clúster fuera de la situación por el momento. Pierde su única DC virtual: pierde su única fuente de DNS.
PnP

Respuestas:

11

Yo tampoco haría que el host Hyper-V sea un DC.

En cuanto a si debe tener un DC físico o no, mi opinión es que con los cambios que Microsoft ha implementado con respecto a los controladores de dominio virtualizados en general y el arranque de clúster sin DC específicamente, no veo personalmente la necesidad ni defiendo Tener un DC físico. Mantener un DC físico parece contrario a la naturaleza de mover su infraestructura a una plataforma de virtualización. ¿Virtualizar toda mi infraestructura pero todo depende de que haya un único DC físico disponible? ¿Cuál es el punto en eso?

Hay formas de limitar su "exposición" mientras virtualiza sus controladores de dominio. Una forma sería implementar múltiples DC en diferentes hosts en su clúster y usar anti-afinidad para mantenerlos separados en caso de una falla del host (dependiendo de cuántos hosts hay en el clúster).

Si bien la respuesta de Greg incluye un enlace a algunas recomendaciones de MS, ese artículo tiene dos años y aborda Windows Server 2008 y 2008 R2. No consideraría ese artículo como la mejor práctica actual en relación con Windows Server 2012 y 2012 R2. No puedo encontrar un documento oficial de MS, pero este tipo se considera una autoridad líder en Hyper-V - http://www.aidanfinn.com/?p=13171

joeqwerty
fuente
Gracias Joe De hecho, leí el artículo de Aidan hace un tiempo y en parte informó mi pregunta. Lo que me sorprende es que, siguiendo lógicamente, tampoco hubo un caso para un DC físico anterior a 2012 a menos que ejecutara un entorno en clúster (aparte de tal vez hacer que la configuración esté 'lista para el clúster'). Es por eso que agregué la otra parte acerca de las personas que aún justifican la necesidad de un pDC incluso sin agrupamiento, que no parece haber cambiado con 2012.
dbr
¿estaría de acuerdo con mi comentario anterior de que si elimina el problema de la agrupación, la situación realmente no ha cambiado entre 2008 y 2012?
dbr
@dbr Solo agregaría a la respuesta de Joe que para un hyper-v (no xen o esx) probaría el hyperc-v mmc antes. Como me sucedió a mí, un host muerto con el DC en él, y el hyperv mmc necesitaba un AD vivo para abrir. Estaba atascado incluso si estaba registrado como administrador de dominio con la credencial en caché. Podría solucionarse con la última actualización, pero es un hecho importante. (a diferencia de esx que puede usar un usuario incorporado, ya que aún puede abrir vsphere o vcenter)
yagmoth555 - GoFundMe Monica
Solo quiero agregar otras formas de mejorar la resiliencia: tener más de un clúster de host de virtualización (ya sea en la misma ubicación u otras ubicaciones) y / o construir una VPN a Azure (o AWS - Azure tiene algunos beneficios para las tiendas de MS) y poner un DC o dos allá arriba.
Todd Wilcox
18

Una razón para retener un DC físico por dominio es que si hay un incidente importante que afecta al host o destruye el almacenamiento de trama para los DC virtualizados, tendría al menos un DC físico con almacenamiento local para realizar la recuperación y mantener la continuidad. Microsoft continúa realizando esta verificación y haciendo esta recomendación durante los RAP de Active Directory (evaluación y planificación de riesgos).

https://technet.microsoft.com/en-us/library/virtual_active_directory_domain_controller_virtualization_hyperv%28v=ws.10%29.aspx

"Mantenga controladores de dominio físicos en cada uno de sus dominios. Esto mitiga el riesgo de un mal funcionamiento de la plataforma de virtualización que afecta a todos los sistemas host que usan esa plataforma".

Greg Askew
fuente
2
Sin embargo, no estoy seguro de que tenga sentido: vea, por ejemplo, sé que una compañía es 100% virtual con DC y hacen copias de seguridad regulares y tienen 3 dc en 2 continentes (2 en Europa, 1 en Estados Unidos) ... difícil imaginar algo aquí que explote de una manera que haga que las cosas no sean recuperables.
TomTom
Supongo que el punto que están tratando de hacer es si hay algún tipo de problema que afecta a Hyper-V en su conjunto, entonces estarías jodido (temporalmente) hasta que pudieras restaurar un DC, mientras que tener un pDC significaría Menos interrupción. Sin embargo, no estoy seguro de estar de acuerdo, ya que de todos modos estarías bastante jodido si hubiera un problema de corte de Hyper-V.
dbr
1
Agradable y elegante, pero de nuevo totalmente irrelevante A MENOS QUE tenga una parte significativa de su infraestructura fuera de Hyper-V. DC está funcionando pero los archivos compartidos, sharepoint, intercambio, impresión y todo lo demás están inactivos, lo que significa que prefiero no preocuparme por que DC esté nuevamente activada; ambos lados (Hyper-V y físico).
TomTom
@TomTom Eso es lo que estaba eludiendo con mi comentario "estarías muy jodido de todos modos" :) Estaba asumiendo que casi todo lo demás estaría virtualizado de todos modos. Totalmente de acuerdo en que todo se reduce a "tener múltiples DC y hacer copias de seguridad"
dbr
@TomTom Company para la que trabajo es completamente virtual para la infraestructura AD también. Y ha sido así desde W2K3. Pero no usamos HyperV: ESX hasta el final. 2 conjuntos separados de infraestructura de clúster ESX en cada continente. Cada dominio tiene (como mínimo) 3 DC: 1 DC en otro continente y 1 DC en cada uno de los 2 entornos ESX en el continente "local".
Tonny
10

Siento que estás buscando una respuesta de una línea, así que aquí está:

Debe tener un DC físico si no confía en la capacidad de su entorno virtual para soportar fallas.

Podríamos hablar sobre las peculiaridades y excepciones con cada escenario, pero creo que esto toca la raíz de la pregunta.

blaughw
fuente
3

Saquemos los grupos de la ecuación y concentrémonos en la línea en su pregunta que me hace estremecer.

¿Debo seguir considerando tener un DC físico junto con mi host único, no agrupado 2012 / 2012R2 Hyper-V que tiene un único DC virtualizado?

¿Por qué, por qué, por qué querrías un solo DC? En cualquier entorno, tratamos de evitar tener puntos únicos de falla para una infraestructura determinada. Los DC son su pan de cada día: proporcionan DNS, la columna vertebral de Active Directory. En serio, reconstruya una PC de escritorio con Windows 7 en 2008R2 y promocione. Hay siempre un caso fuerte para un DC física.

¿Hyper-V con AD DS? No simplemente no. En primer lugar, Microsoft no es compatible con esto. En segundo lugar, como mencionó, el manejo de las copias de seguridad se convertirá en un problema dependiente de la configuración de su disco. Sin mencionar que la belleza de la virtualización es la capacidad de retirar hosts físicos tan rápido como podemos construirlos (y agradezco que dcpromo no sea un gran problema (dependiendo del tamaño de su entorno)) y el alojamiento de AD DS simplemente complica importa También introduce otra complejidad de Windows Time.

Personalmente, dejo a mis hosts independientes de Hyper-V fuera del dominio, pero en realidad, no tengo ningún argumento real para ninguna de las configuraciones.

PnP
fuente
3
La mayor parte de su respuesta es innecesariamente crítica al hacer puntos que son completamente válidos, pero que no tienen nada que ver con la pregunta. Por supuesto, múltiples DC son casi siempre una necesidad: la parte citada se está utilizando para ilustrar un punto / pregunta. El combo HV + AD nuevamente es solo una nota al margen, y creo que estaba bastante claro que tampoco soy un amante del combo.
dbr
2
Si "siempre hay un caso sólido para un DC físico". [vs. un segundo vDC por ejemplo] - ¿podría explicar ese caso? Esa es realmente mi pregunta.
dbr
1

Para responder a la última pregunta sobre si esto es realmente un problema: he notado que mis hosts Hyper-V con RDP habilitado, pero que requieren NLA, no permiten RDP hasta después de reiniciar el servicio de reconocimiento de ubicación de red si no hay un DC cuando se inicia. También he tenido problemas ocasionales con la conexión remota a VMMS en estos puntos, pero solo cuando algo más también estaba roto. Cuando no puede ingresar RDP o conectarse al administrador de Hyper-V de forma remota, es realmente difícil descubrir qué está roto y arreglar las cosas. Mantener un DC físico alrededor ha evitado que esto me suceda en cualquier momento.

RobbieCrash
fuente