我有一个客户，其员工完全由使用 Apple 和 Windows 7 PC/笔记本电脑的远程员工组成。
用户目前不针对域进行身份验证，但出于多种原因，组织希望朝这个方向发展。这些是公司所有的机器，公司寻求对帐户停用、组策略和一些轻微的数据丢失预防（禁用远程媒体、USB 等）进行一些控制。他们担心需要 VPN 身份验证才能访问 AD会很麻烦，尤其是在被解雇的员工和远程机器上缓存的凭据的交叉点上。
组织中的大多数服务都是基于 Google 的（邮件、文件、聊天等），因此唯一的域服务是 DNS 及其 Cisco ASA VPN 的身份验证。
客户想了解为什么向公众公开他们的域控制器是不可接受的。此外，什么是一个分布式远程员工一个更容易接受的域结构？
编辑：
Centrify用于少数 Mac 客户端。