Active Directory虚拟化

我的公司正在寻求尝试对所有服务器进行虚拟化，并且我们试图确定对活动目录进行虚拟化是否是一个好主意。它甚至可以做些什么吗？如果这样，以这种方式设置它是否有任何缺点。我的网络设置有多个物理服务器，多个虚拟服务器和一个SAN。

如果您需要更多信息，请告诉我。

active-directory virtualization

— Poconnor
source

— Zoredache

@Zoredache也许两个问题可以合并？

— 病房-恢复莫妮卡

@Ward，可能需要重新编写两个问题和一些答案。另一个问题是询问是否可以虚拟化“ DC”，这似乎与虚拟化所有域控制器有关。

— Zoredache

Answers:

对于大多数环境，这并不需要太多的服务器。即使是64位双核机架式Atom服务器，在RAID1中配置4GB RAM和一对2.5英寸硬盘驱动器时，耗电25瓦，成本不到500美元，也可以提供非常实用的物理域控制器/ DNS /运行Server 2008 R2的DHCP服务器。

始终维护物理域控制器在现实世界中的主要好处是可以防止在更新/升级，断电等情况下重新启动虚拟化环境时出现“冷启动”问题。如果您将Hyper-V服务器用作虚拟化主机，则这尤其重要，因为这些计算机将有望在启动时找到域控制器。

— 天鹰
source

迈尔斯（Miles）有一个关于冷启动的重点。如果物理机担当PDC仿真器角色，它还解决了时间问题。

— Jim B

@Jim B：在物理DC上具有PDC Emulator角色是一件好事，但是您仍然需要确保为虚拟机管理程序供应商的最佳实践配置来宾。

— 埃文·安德森

此外，如果您使用Windows DC来提供DNS服务，则虚拟机管理程序O / S（VMware / Hyper-V / etc）甚至在启动来宾VM（包括虚拟DC）之前都希望使用DNS进行名称解析。 ...更多的理由是至少要有一个物理DC。

— ewall

@evan Anderson是的，但在大多数情况下，它们都响应Microsoft对虚拟访客的建议，当它们发生冲突时，您需要做出判断。

— Jim B

由于前面提到的某些相同原因，我不建议在作为域成员而不是DC的Windows物理安装上安装虚拟机监控程序。如果主机甚至没有加入域，则可能会有更好的结果。

— 乔纳森·J

我看到的虚拟化Active Directory（DC）域控制器（DC）计算机的主要问题与时间同步问题有关。AD非常依赖于DC之间的良好时间同步，因此请确保按照制造商的规范配置虚拟机监控程序，以使来宾VM具有可靠的时间同步。

除了时间同步外，我对虚拟DC的报告也没有任何不良经验。不要对它们做任何与物理域控制器不做的事情。确保不使用快照等功能回滚DC VM，因为这可能会引起数据库复制问题（相当于还原物理DC的旧备份）。不要克隆DC VM（等效于磁盘映像物理DC）。

编辑：

我强烈建议也至少保留一个物理DC，以回应@MilesErickson的回答。我要说的是，在托管服务器计算机的每个位置都需要一个物理DC，以便在WAN连接断开时能够“冷启动”这些计算机。

— 埃文·安德森（Evan Anderson）
source

我同意-我有许多虚拟DC在运行，没有问题。如果您没有正确配置时间，那么时间可能是个问题。

— 漂流农民2011年

我也是。没有问题可言。

— joeqwerty 2011年

啊，早上有USN回滚的气味……

— Massimo

多年来，我已经使用物理DC和虚拟DC运行了多个站点，没有任何问题。

— 基思·斯托克斯

有趣的是，您已经有一段时间没有听说过如何在ServerFault帖子中阅读USN回滚了……然后第二天突然在客户的站点上弹出了。

— 马西莫

不久之前，我们对AD / Server 2003的域控制器进行了虚拟化。它运行良好，除了其中一台计算机使用旧版本的VM代替了最新版本的VM之外。这导致了一个严重的问题-并且导致AD服务器停止复制和信任其他服务器。

我后来发现触发了USN回滚-修复起来非常不愉快。 http://support.microsoft.com/kb/885875

我能够解决问题，因此我们继续进行虚拟化。但是，这一次我只是准备好了现成的VM，如果Domain Controller主机发生故障，我只是将Standby作为新的Domain Controller加入到域中，这很好。

— 本·德莫特
source