用于 Web 身份验证的 Active Directory：扩展到 100 万用户？

Question

我感兴趣的是 Active Directory 作为网站的身份验证后端的效果如何，可容纳约 100 万用户。您是否有在这种规模的 Web 环境中使用 AD 的经验，如果有，我们需要什么级别的硬件？

[更新] 关于登录频率：我同意这是一个关键因素，但我们还没有这些信息。假设一个常规的商业/银行站点设置：通过表单登录一次，在会话中携带您的身份（即，在登录页面以外的页面上没有对 AD 的身份验证调用）。

AD 不会存储超出身份验证所需的大量用户信息。

• 您希望网站有多忙：假设是一个正常的商业/银行网站。没有这方面的进一步信息。

• 这个 AD 会被分区吗：可以，虽然最简单的架构是首选。

• 此广告是否提供其他服务：否。

• 你的 OU 结构有多复杂

• 您是否要扩展架构： 将使用标准架构。OU 结构将相当简单。

• 您是否会对其进行多次搜索：仅查找用户名/电子邮件以进行后续绑定。

• 您是否会针对用户对象存储大量信息：否

• 此广告是否涉及交换：否

Answer 1

您可以...吗？是的。你应该？不。

首先，扩展负载 - 平均每秒登录 1 次的 100 万用户与每秒平均登录 100-1000 次的 100 万用户有很大不同。

不过，这只是一些一般性的想法——虽然从技术上讲是可以的，但我不知道 Active Directory 是在一个域中存储 100 万用户的理想工具。如果您将它用于您的 Web 应用程序并开始出现性能问题，则很难进行故障排除。就个人而言，对于支持 100 万用户的东西，它确实需要更加专注于该特定任务。

如果这是您需要达到的基准并且您确实想使用 AD，则您可能需要让 Microsoft 参与进来，以确保您的架构绝对正确，并至少进行负载/性能测试。

当您只需要身份验证数据库时，Active Directory 所做和引入的“其他事情”的数量（层、复制、扩展、帐户在“生产”网络域上的安全问题）是，恕我直言，不适合用户数量和所需的相对简​​单性。方式过于矫枉过正和复杂。