域控制器作为 EC2 实例

Question

我们已成功将本地 Active Directory 扩展到 AWS，将域控制器创建为 EC2 微实例，我们的设置松散地基于 Amazon 白皮书：在 AWS 云中实施 Active Directory 域服务

我们正在实施一个系统，可以在工作时间之外停止所有 EC2 实例并在工作时间内启动它们。但是，我似乎找不到关于停止和启动这些 DC 以及其他 EC2 实例的效果（如果有的话）的任何文档。

在Amazon VM 可以用作 Active Directory 域控制器吗？：

当您无法访问域控制器时，您可能会遇到各种各样的问题，因此任何网络中断都会产生巨大的业务后果

Jesper Mortensen在 Amazon EC2 上运行 Windows 域中概述了不在 AWS 中放置 DC 的详细原因，但在现阶段这可能已经过时了几年

最后，我的问题是：如果这些 DC 断电整个周末，是否会导致其他 EC2 实例出现问题？

编辑 1：我很清楚这可能是一个很难回答的问题，但我不会接受“你为什么要这样做”或“不要这样做”这样的回答。问题与这会导致的具体问题有关，而不是这是否是一个好主意

Answer 1

我知道您正在寻找为什么这不是一个好主意的具体原因，并且正如您自己的研究表明的那样，域控制器可以在短时间内关闭而风险很小或没有风险，但我的全部观点是这不是任何人作为正常做法所做的事情，并且与最佳做法相矛盾。你可以自由地用你的基础设施做任何你想做的事情，但我认识的人不会这样做，也不会允许这样做。

如果您出于维护或其他目的偶尔关闭它们，我不会担心，但是如果您每个周末都关闭它们，那么我会考虑诸如组策略同步问题、延迟对象、USN 回滚等问题，等等，等等。并不是说那些很可能会发生，但如果这是 SOP，我肯定会考虑这些问题。

Answer 2

与其讨论这是否是一个好主意（您已经表示不想这样做），不如让我们讨论一下当您无权访问域控制器时会丢失什么。

1. 广告登录。如果用户之前登录过，则缓存凭据会起作用，但新的域登录会失败。
2. 网络共享。您的 Kerberos 票证持续时间和实施由域策略设置，但访问网络共享将开始在您的网络中失败。（默认为用户 10 小时，服务 600 分钟，或者我刚找到的文章发表的时间。）
3. DNS。您的桌面仍然可以连接，但它们将无法解析域，无论是内部还是外部。
4. 使用 AD 凭据的任何其他服务（VPN、网络访问控制、具有集成安全性的网站等）。

如果你每晚和周末都关掉 DC，我也会害怕时钟漂移。时钟漂移可能会导致 AD 登录问题（因为 Kerberos 使用时间戳）。老实说，我不知道会有多少时钟漂移，因为我从未尝试过，但这会让我感到紧张。尤其是因为虚拟机无论如何都以漂移时钟而闻名。

我也很担心，嗯。非工作时间是进行破坏性维护的传统时间。我也不知道您在您所在的位置运行什么样的预定作业，以及它们使用什么样的凭据，但是您有可能正在运行的任务如果在工作日运行会破坏用户体验。