VPN 背后的基于云的域控制器是否可行？

Question

我正在考虑在 Azure 虚拟网络中的 MS Azure 中设置 Windows 域控制器。目标是能够集中管理 GP 和用户。

这是否可行，因为客户端计算机在能够进行身份验证之前基本上需要在 VPN 上？

我想我可以建立一个到我们办公室的站点到站点 VPN 连接，但我们有一些游牧用户几乎总是移动。

Answer 1

在 Azure 中运行域控制器绝对是可行和支持的。这取决于您希望实现的目标是否是最佳选择。如果您主要希望管理客户端 PC 策略并提供身份验证，那么您通常需要一个靠近它所服务的机器的 DC。如果大多数用户都在办公室并且您在那里有基础设施，那么将 DC 放在他们附近的办公室仍然是一个好主意。在 Azure 中放置另一个 DC 的主要原因是为您也放置在需要 AD 身份验证或目录访问的 Azure VM 中的应用程序提供服务。

如果您希望摆脱内部部署的基础架构，但仍需要传统的组策略和身份管理，则可以使用 Azure 中的 DC，并如您所说的那样通过 VPN 提供访问权限。可以使用站点到站点选项将您的网络扩展到 Azure，或者您可以查看新的点到站点 VPN功能，该功能允许使用安装在每个客户端上的代理直接 VPN 访问 Azure。这对于小型用户群可能很有效。

https://azure.microsoft.com/documentation/articles/vpn-gateway-point-to-site-create/

还要记住，Windows 会缓存凭据，因此只要您通过 VPN 对用户进行一次身份验证，他们就不需要运行它来随后登录。当然，他们需要定期登录以应用最新的策略，这可能会通过登录脚本等强制执行或鼓励。

希望有帮助。