Мы успешно расширили наш локальный активный каталог до AWS, создав контроллеры домена в виде микро-экземпляров EC2, мы основывались на нашей настройке на техническом документе Amazon: Внедрение доменных служб Active Directory в облаке AWS
Мы находимся в процессе внедрения системы остановки всех наших инстансов EC2 в нерабочее время и запуска их в нерабочее время. Однако я не могу найти никакой документации относительно эффектов (если таковые имеются) остановки и запуска этих контроллеров домена вместе с другими экземплярами EC2.
SatanicPuppy дал очень расплывчатое предупреждение по этой теме в своем ответе на Можно ли использовать виртуальные машины Amazon в качестве контроллеров домена Active Directory?:
Когда вы теряете доступ к контроллеру домена, у вас могут возникнуть всевозможные проблемы, поэтому любое прерывание сети будет иметь огромные последствия для бизнеса.
Джеспер Мортенсен подробно описывает причины, по которым не следует включать контроллер домена в AWS. Запуск домена Windows на Amazon EC2 но на данном этапе это может быть устаревшим на несколько лет
Наконец, мой вопрос: если бы эти контроллеры домена были отключены на все выходные, не возникло бы это проблемы с другими экземплярами EC2?
РЕДАКТИРОВАТЬ 1: Я хорошо понимаю, что на этот вопрос может быть сложно ответить, но я не приму ответа типа «зачем вам это делать» или «просто не делайте этого». Вопрос в том, какие проблемы это может вызвать, а не то, хорошая это идея или нет
Я понимаю, что вы ищете конкретные причины, по которым это не очень хорошая идея, и, как показало ваше собственное исследование, контроллеры домена можно отключать на короткие периоды времени с небольшим риском или без него, но вся моя точка зрения заключается в том, что это не то, что кто-то делает в качестве обычной практики и противоречит передовой практике. Вы можете делать со своей инфраструктурой все, что захотите, но никто из моих знакомых никогда не сделал бы этого и не позволил бы это сделать.
Если вы отключаете их время от времени для обслуживания или других целей, я бы не беспокоился об этом, но если вы выключаете их каждые выходные, я бы подумал о таких вещах, как проблемы синхронизации групповой политики, устаревшие объекты, откаты USN и т. д. и т. д. Не то чтобы это могло произойти, но я уверен, что думал бы об этих проблемах, если бы это была СОП.
Вместо того, чтобы обсуждать, хорошая ли это идея, о которой вы уже заявляли, что не хотите делать, давайте вместо этого обсудим, что вы теряете, если у вас нет доступа к контроллеру домена.
Если вы выключаете свои контроллеры домена каждую ночь и на выходных, я буду бояться часы дрейф также. Смещение часов может вызвать проблемы при входе в AD (поскольку Kerberos использует временные метки). Я, честно говоря, не знаю, какой будет дрейф часов, потому что я никогда не пробовал, но это заставило бы меня нервничать. Тем более, что виртуальные машины все равно имеют репутацию дрейфующих часов.
Меня это тоже беспокоит. В нерабочее время традиционно проводится профилактическое обслуживание. Я также не знаю, какие запланированные задания вы выполняете в вашем регионе и какие учетные данные они используют, но возможно, что у вас есть выполняемые задачи, которые могут нарушить взаимодействие с пользователем, если они будут выполняться в течение рабочего дня.
На самом деле это не предназначенный для AD вариант использования. В целом Windows предполагает, что контроллеры домена работают постоянно, пока не исчезнут навсегда. Их частое отключение на длительные периоды времени вызовет ошибки репликации и, возможно, даже проблемы с надгробиями, если они вернутся после длительного периода бездействия.
Надгробные камни - это записи, которые помечаются как удаленные в течение периода хранения, чтобы каталог оставался согласованным при репликации.
Дополнительные сведения о различных аспектах отключенных контроллеров домена см. В документации: https://technet.microsoft.com/en-us/library/cc782557(v=ws.10).aspx
Но не только это. Этот план не сэкономит вам денег и, вероятно, будет стоить дороже! Резервирование инстанса EC2 дает вам очень большую скидку на экземпляры при условии 100% использования. Лучшая скидка - это вариант с полной предоплатой, при котором вы платите заранее, чтобы экземпляр работал постоянно в течение следующих 1 или 3 лет. Если скидка превышает 28%, как это часто бывает, отключение их два дня в неделю не сэкономит вам денег.
Кроме того, иногда люди пользуются доменом по выходным и ночью.
Более того, передовая практика обычно диктует использование контроллеров домена в качестве DNS-серверов. Этого обычно требуют обновления и фоновые задачи.
В любом случае, если вы используете три микроэкземпляра для своих DC, ваши расходы на EC2 (для зарезервированных инстансов), скорее всего, составят около 300 долларов в год. Вы могли бы сократить это примерно на 100 долларов, отказавшись от резервирования и запустив его только 8 часов в день. Эта экономия даже отдаленно не стоит той дополнительной работы, которую вам придется потратить.
Даже одна проблема репликации в год, вызванная этим, сведет на нет экономию на EC2 дополнительных трудозатрат.
Ответ Amazon на мой вопрос был очень полезным, они поняли необходимость этого и обозначили конкретные потенциальные проблемы с этим подходом.
Основным моментом, который они подчеркнули, было то, что единственный способ работы такого рода установки - это обеспечить, чтобы все машины, которые полагаются на контроллеры домена EC2, были выключены вместе с ними, что мы и планируем делать.
Наряду с этим следует принять во внимание еще три соображения.
- Если у вас есть роли FSMO на этом контроллере домена, отключение контроллера домена не будет лучшей практикой.
- Эти контроллеры домена не будут доступны для проверки подлинности в то время, когда они выключены, и экземпляры или службы возобновят проверку подлинности при возобновлении работы контроллеров домена.
- Вам нужно будет выделить достаточно времени, чтобы у них было достаточно времени для завершения репликации после того, как они вернутся.