将真实域用于 Active Directory 域的问题？

Question

我有什么理由不应该使用 example.com 作为我的 AD 域而不是 example.local 或其他一些不存在的变体？

Answer 1

不要将您的“真实域名”用于 Active Directory 域名。AdamB 作为“PITA 因素”给出的原因正是不这样做的原因，而不仅仅是“PITA”。

为已经在其他地方拥有权威域名服务器的域设置权威的 DNS 服务器是不好的做法。如果这样做，您很快就会想要解析“已经具有权威性”的名称，并且需要手动将记录复制到您的内部 DNS 服务器中。

如果您想要一个与您的“真实”域名相邻的命名空间，请尝试类似“ad.company.com”的名称。将“company.com”排除在外。

编辑：

现在我想我知道你要去哪里了。您应该真正了解 Active Directory 是如何使用 DNS 的（http://technet.microsoft.com/en-us/library/cc759550(WS.10).aspx )。您确实希望在本地托管 Active Directory 的 DNS！

您的 Internet 域名（用于您的电子邮件、网站等）的 DNS 绝对应该在外部托管，但这不必（实际上不应该）与您用于 Active Directory 域名的域名相同.

您的外部 DNS 主机可能不会支持使 Active Directory 在其 DNS 服务器中正常工作所需的所有功能。特别是，它们可能不支持动态 DNS 注册或基于 GSSAPI 的安全更新。

除此之外，您的所有域成员客户端和服务器计算机都将需要 DNS 来执行诸如登录和组策略应用之类的基本操作。您不想将其与您的互联网连接联系起来！

您必须使用 Windows Server 计算机来托管 Active Directory。通常的做法还使用这些域控制器计算机来托管 Active Directory 的 DNS（并且经常将其他名称的请求转发到 ISP 的 DNS 服务器或根 DNS 服务器）并将这些 DNS 服务器用作所有域的 DNS 服务器- 成员客户端和服务器计算机。