为什么在域控制器上部署远程桌面服务不好？

Question

我在 VPS 上有一个应用程序，我想使用 RemoteApp 运行它，而不必将桌面远程连接到服务器。我们的 VPS 提供商可以向我们出售一包五个 RDS 许可证以供使用，这将是足够的。

我计划遵循本指南，该指南表示出于安全原因不推荐这样做：https : //ryanmangansitblog.com/2015/02/22/deploying-rds-2012-r2-on-a-domain-controller-the-walk-通过指南/

关于如何为 remoteApp 设置单个服务器的另一个指南实际上使用两个服务器：https : //msfreaks.wordpress.com/2013/12/09/windows-2012-r2-remote-desktop-services-part-1/

最后，微软有一个关于在 DC 上安装 RDS 的指南，基本上只是说不：https : //technet.microsoft.com/en-us/library/cc742817(v=ws.11).aspx他们说它不安全而且很糟糕表现。不过，我们有一个不错的 VPS，并且信任用户。

我的问题是安全风险是什么？运行 remoteApp 应用程序的用户是受信任的员工。

Answer 1

我相信这通常被认为是一个坏主意，因为域控制器应该是您网络的关键核心，存储您王国的所有密钥。因此，它们应该单独存在，不要与其他应用程序混合使用，也不要由非管理员用户（甚至是定期管理员）登录，这样关键数据受到损害的可能性就会降低。

但是，在您的特定情况下，听起来 AD 存在的唯一原因是支持 RDS 的安装，因为除非您也有域，否则您无法在基本远程管理模式之外使用它。所以在我看来，将所有角色都放在一台服务器上以节省托管成本是很好的。您实际上只是将服务器的本地 SAM 数据库替换为 Active Directory 数据库。破坏服务器和 AD 的攻击者无关紧要，因为唯一使用 AD 的是受到破坏的服务器上的服务。所以你擦除它并重新构建或从备份中恢复，没什么大不了的。

据我所知，这两种服务的组合不会在服务器上产生某种新的漏洞。