生产 Windows Web 服务器（IIS 和 SQL）应该在域中吗？

Question

我们有几台 Web 服务器和几台数据库服务器。迄今为止，它们一直是不属于域的独立机器。Web 服务器不相互通信，Web 服务器通过 SQL Auth 与数据库服务器通信。

我对将机器放在一个域中的担忧是

1. 增加了复杂性 - 它是另一件正在运行的“事情”，并且正在做可能出错的“事情”。
2. 风险 - 如果域控制器出现故障，我现在是否会将其他机器置于危险之中？

但是，在某些情况下，他们在域中共享凭据似乎很方便。例如，如果我想将一台机器上的“服务”控制权授予另一台机器的访问权限（因为远程桌面无效），我需要进入并在多台机器上分配权限 - 我认为 Active Directory 和域帐户设置为简化。

我的问题：我确定这里有些事情我没有考虑。有最佳实践吗？

Answer 1

The Powers That Be 当然可以澄清一些事情，但整个 StackOverflow Network 运行在 IIS 服务器上，SQL 后端位于 Active Directory 域中。我会说它运作良好。

• 增加了复杂性 - 它是另一件正在运行的“事情”，并且正在做可能出错的“事情”。

有时，增加复杂性可以让您删除一些。特别是如果您担心横向扩展，拥有域可以极大地简化添加服务器、更改配置和任何数量的工作。组策略和集中管理的脚本可以做惊人的事情来减轻您的生活。

• 风险 - 如果域控制器出现故障，我现在是否会将其他机器置于危险之中？

这就是为什么您有两个域控制器，并且不能从 Internet 访问它们的原因。如果有人侵入了您的网站，无论如何您都会受到打击。这就是为什么如果可能的话，让您的 AD 域仅用于您的应用程序环境是一个很好的主意。

最后，Microsoft 将其环境设计为在 AD 中工作。当 AD 参与仲裁身份验证并鼓励使用安全协议时，服务器间通信既容易又安全。