生产机器的活动目录或工作组

Question

旧的思想是应用程序和数据库服务器不应该是域的一部分。我的网络设置只有应用程序服务器才能与数据库服务器通信。应用服务器在他们自己的工作组中，数据库服务器在他们自己的工作组中。服务器与网络的其余部分完全隔离，开发人员可以通过 vpn/rdp 访问。这仍然是建立基础设施的好方法吗？

我问的原因是我终于用 Active Directory 更新了环境，并且有一个窗口可以重新设计网络架构（如果合适的话）。

我不是真正的系统管理员，但需要履行这个角色......

编辑

我真的很感谢大家的耐心和帮助。我对 Active Directory 知之甚少。我主要担心的是用户机器会受到攻击（僵尸），并且这台被攻击的机器可用于通过 AD 访问生产服务器。使用 AD 会让我的生活更轻松，但一个妥协就会摧毁公司。目前，未经授权的用户访问内部生产服务器的可能性很小。

无论如何，似乎共识是 AD 不会给生产服务器增加风险，并且这样做是普遍可接受的做法。所以，我想我应该开始提高我对 AD 的了解并正确设置，或者看看是否有本地专家可以做到这一点。

感谢您提供所有信息。

Answer 1

大型企业使用 Active Directory 是有原因的。这更有意义。需要考虑的事项：

• 如果我破坏了您的计算机，那么您要么在各处拥有不同的密码，这意味着您可能将密码存储在某处，要么您将重复使用相同的密码。不是每个人都会有一个像样的密码保险库。无论哪种情况，我最终都会在其他地方拿到钥匙。
• 使用 AD 上的服务器，您可以获得全局锁定策略的优势。这意味着如果您在 Y 分钟内总共有 X 次登录失败，则帐户将被锁定。所以我没有在这里得到 X 次机会，在那里得到 X 次机会，另外还有 X 次机会超过年轻人，总共有 3 次机会（如果你重复使用密码）。我得到 X。当 X > 0 时，X < 3X。
• GPO。托管配置，例如限制匿名、审核设置、事件日志大小、是否重命名管理员、是否允许 LM 哈希或执行 NTLM 等。所有这些都可以从 AD 控制和推送并自动执行。从安全的角度来看，这会使手动服务器一个接一个的处理掉，正如一个优秀的 IT 审计员会告诉你的那样。
• 单一来源的安全性。你有一个用户流氓。你想办法。您在域上禁用该用户的帐户。你猜怎么着？该用户没有在其他任何地方登录。您尝试使用多个不同的系统，并且您将不得不击中每一个。

看，您仍然可以通过硬件防火墙关闭关键服务器，这是一个好主意，雕刻适当的漏洞，以便这些服务器可以与 DC 通信，因此客户端只能在正确的端口上与这些服务器通信。例如，最终用户没有理由拥有对数据库服务器的 NetBIOS 访问权限。并且文件服务器没有理由需要与 SQL Server 通信，所以不要让它们。然后你限制整体表面积。