Назад | Перейти на главную страницу

Почему плохо развертывать службы удаленных рабочих столов на контроллере домена?

У меня есть приложение на VPS, и я хочу запускать его с помощью RemoteApp вместо удаленного рабочего стола на сервере. Наш провайдер VPS может продать нам пакет из пяти лицензий RDS, и этого будет достаточно.

Я планирую следовать этому руководству, в котором говорится, что это не рекомендуется из соображений безопасности: https://ryanmangansitblog.com/2015/02/22/deploying-rds-2012-r2-on-a-domain-controller-the-walk-through-guide/

В другом руководстве по настройке одного сервера для удаленного приложения на самом деле используются два сервера: https://msfreaks.wordpress.com/2013/12/09/windows-2012-r2-remote-desktop-services-part-1/

Наконец, у Microsoft есть руководство по установке RDS на контроллере домена, в котором просто сказано «нет»: https://technet.microsoft.com/en-us/library/cc742817(v=ws.11).aspx Говорят, это небезопасно и плохо работает. У нас есть VPS приличного размера, и мы доверяем пользователям.

У меня вопрос: какова угроза безопасности? Пользователи, запускающие приложения remoteApp, являются доверенными сотрудниками.

Я считаю, что это обычно считается плохой идеей, потому что контроллеры домена должны быть критическим сердцем вашей сети, в котором хранятся все ключи от вашего королевства. Поэтому их следует оставить в покое, не смешивать с другими приложениями и не входить в систему неадминистративными пользователями (или даже администраторами на регулярной основе), чтобы было меньше шансов скомпрометировать эти важные данные.

Однако в вашем конкретном случае кажется, что единственная причина, по которой AD будет существовать, - это поддержка установки RDS, поскольку вы не можете использовать его вне базового режима удаленного администрирования, если у вас также нет домена. Так что, на мой взгляд, размещение всех ролей на одном сервере для экономии затрат на хостинг - это нормально. По сути, вы просто заменяете локальную базу данных SAM сервера на базу данных Active Directory. Злоумышленник, который скомпрометирует сервер и AD, не имеет значения, потому что единственное, что использует AD, - это службы на сервере, который был скомпрометирован. Таким образом, вы стираете его и перестраиваете или восстанавливаете из резервной копии, не важно.

Насколько мне известно, сочетание этих двух сервисов не создает какой-либо новой уязвимости на сервере.