适用于小型办公室（< 50 个客户端）的多角色域控制器

Question

警告：我是 Linux/*NIX 管理员，所以这对我来说是全新的。

我知道只有一个域控制器并不是一个好主意，而且域控制器只执行 AD/DHCP/DNS（这里）也可能是一个好主意。我们有两个办公室，位置 A 有 30 个用户，位置 B 有 10 个用户。我们的两个办公室被一个不是特别强大的广域网隔开，所以我被告知我们需要在每个办公室都有独立的服务。这意味着根据“最佳实践”，我们需要在每个办公室建立一个域控制器和一个单独的文件服务器。同样，我对 Windows 的方式不了解，但这对于 40 个用户的组织来说似乎有点不必要。

人们评论说，只要“负载很轻”，我就可以“摆脱”在域控制器上运行文件服务。这似乎产生的问题多于它的答案。

1. 什么是轻载？
2. 混合这些角色的潜在后果是什么？

理想情况下，我希望每个位置只有一台物理机。位置 A（有 IT 人员的位置）中的一个可以充当主域控制器，较小的办公室中的一个可以充当备份域控制器。如果任一域控制器出现故障，我们仍然可以使用另一个进行身份验证（尽管有一些延迟），如果 WAN 连接失败，每个办公室仍然可以访问各自的“本地”域控制器。如果文件服务也运行在每台服务器上（并与 DFS 之类的东西同步），就可以在冗余方面进行类似的安排，而无需购买、构建和安装两个额外的独立服务器。并不是说我对此持反对态度（好吧，比我开始对整个事情更不利）但在我看来，这只是简单的想法，有点矫枉过正。当我们谈论更大的组织时，我绝对可以看到功能分离的好处，但我也需要考虑额外的开销。

这些都不排除为域控制器设置 DRP。我假设您可以像丢失两个域控制器一样轻松地丢失两个域控制器。

编辑：我得到的答案非常好，但如果可能的话，我想看看硬币的另一面。混合角色可能会出现什么问题？这种设置我不会冒着每个控制器执行 Active Directory 而只执行 Active Directory 的风险，我有什么风险？

Answer 1

“必须在上”约束确实强烈表明 DC 需要位于第二个站点中。很遗憾。为了更好地处理“网络中断”并节省带宽，需要在每个位置声明一个 AD 站点并在每个位置声明一个 DC。

此外，微软出售他们的小型企业服务器，这是一种一体机。DC，交换，文件。一台机器。我不记得他们宣传的办公室有多大，但你很接近那个规模。所以...

什么是轻载？

考虑到您的域有 40 个用户，您可能不会在 DC 计算机上产生大量与域同步相关的负载。这为文件和打印服务留下了更多开销。令人高兴的是，file-and-print（文件，不仅仅是打印）对于只有 10 人的办公室来说是一种相对轻量级的服务。只要机器足够服务器级和现代，我会毫不犹豫地同时运行 DC 和文件角色想法。

免责声明：我是大店管理员，我们有小店管理员经常光顾这里。我可能不在基地:)