可以将应用程序放在 Active Directory 辅助服务器上吗？什么陷阱？

Question

我的 Windows/IIS 网站设置中有固定数量的虚拟机，我无法在短期内更改：

我有一些当前在网络服务器上运行的后台服务来运行繁重的离线数据库维护工作，有时会占用大量内存和 CPU 本身。我想把它们移开。将其移至 SQL Server 或 AD 控制器的利弊是什么？哪个对整体系统性能更好？你有什么建议吗？

无需建议我更改硬件配置——我不能。

Answer 1

如果可以的话，切勿将应用程序放在域控制器上。DC 上没有本地帐户，因此任何具有计算机级权限的主体都具有域级权限。

（在 AD 中没有“辅助服务器”这样的东西。）

Answer 2

将不同的角色与域控制器结合起来通常是一个非常糟糕的主意- 大多数事情都会产生安全后果。整个 SBS 市场都围绕着这一事实。

如果可能的话，即使您无法升级下面的物理硬件，您也应该考虑重新配置现有机器。大多数主要供应商都允许您过度配置 RAM，并且在任何现代环境中拥有更多的虚拟 CPU 都不会造成损害。

编辑：

在 DC 上运行附加服务的问题包括但不限于以下问题。

在 SYSTEM 帐户下的域控制器上运行的服务将获得域管理员等效权限。这让违规行为原本不太重要的服务危及您的整个环境。

如果您选择降级域控制器，则与已安装的软件相关的组成员身份等会发生奇怪的事情。

例如，位于降级域控制器上的打印服务器不会有打印操作员组（该组将保留在域中，而不是迁移回本地服务器）。SQL 等也会发生同样的事情。