Controlador de domínio como instância EC2

Question

Estendemos com sucesso nosso diretório ativo local para AWS, criando controladores de domínio como microinstâncias EC2. Baseamos nossa configuração vagamente no white paper da Amazon:Implementando serviços de domínio Active Directory na nuvem AWS

Estamos no processo de implementação de um sistema para interromper todas as nossas instâncias EC2 fora do horário comercial e iniciá-las dentro do horário comercial. No entanto, não consigo encontrar nenhuma documentação sobre os efeitos (se houver) de parar e iniciar esses DCs junto com outras instâncias do EC2.

SatanicPuppy deu um aviso muito vago sobre este tópico em sua resposta emAs VMs da Amazon podem ser usadas como controladores de domínio do Active Directory?:

Existem todos os tipos de problemas que você pode ter quando perde o acesso a um controlador de domínio, portanto, qualquer interrupção na rede terá enormes consequências para os negócios.

Jesper Mortensen descreve motivos detalhados para não colocar um DC na AWS emExecutando o domínio do Windows no Amazon EC2mas isso pode estar vários anos desatualizado nesta fase

Por fim, minha pergunta é: se esses DCs ficassem desligados por um fim de semana inteiro, isso causaria problemas nas outras instâncias do EC2?

EDIT 1: Estou bem ciente de que esta pode ser uma pergunta difícil de responder, mas não aceitarei uma resposta do tipo 'por que você gostaria de fazer isso' ou 'simplesmente não faça isso'.A questão diz respeito aos problemas específicos que isso causaria, não se é ou não uma boa ideia

Answer 1

Em vez de discutir se esta é ou não uma ótima ideia, o que você já declarou que não quer fazer, vamos discutir o que você perde quando não tem acesso a um controlador de domínio.

1. Logins do AD. As credenciais armazenadas em cache funcionariam se o usuário tivesse feito logon antes, mas os novos logins de domínio falhariam.
2. Compartilhamentos de rede. A duração e a aplicação do tíquete Kerberos são definidas pela política de domínio, mas o acesso aos compartilhamentos de rede começaria a falhar em sua rede. (O padrão é 10 horas para usuários e 600 minutos para serviços, ou era quando o artigo que acabei de encontrar foi publicado.)
3. DNS. Seus desktops ainda terão conectividade, mas não serão capazes de resolver domínios, internos ou externos.
4. Qualquer outro serviço que utilize credenciais AD (VPN, Network Access Control, sites com segurança integrada, etc.).

Se você desligar seus CDs todas as noites e no fim de semana, eu teria medo dedesvio do relógiotambém. O desvio do relógio pode causar problemas com logins do AD (porque o Kerberos usa carimbos de data/hora). Sinceramente, não sei quanto desvio do relógio haveria porque nunca tentei, mas isso me deixaria nervoso. Especialmente porque as máquinas virtuais têm a reputação de atrasar os relógios.

Eu também estou preocupado com isso, bem. Fora do horário comercial é o horário tradicional para fazer manutenções disruptivas. Também não sei que tipo de trabalhos agendados você está executando em seu local e que tipo de credenciais eles usam, mas é possível que você tenha tarefas em execução que atrapalhariam a experiência do usuário se executadas durante o dia útil.

Answer 2

Entendo que você esteja procurando motivos específicos pelos quais isso não é uma boa ideia e, como sua própria pesquisa mostrou, os controladores de domínio podem ser desligados por curtos períodos de tempo com pouco ou nenhum risco, mas o que quero dizer é que isso não é algo que alguém faz como prática normal e contradiz as melhores práticas. Você é livre para fazer o que quiser com sua infraestrutura, mas ninguém que eu conheça faria isso nem permitiria que fosse feito.

Se você os desligasse ocasionalmente para manutenção ou outros fins, eu não ficaria preocupado com isso, mas se você os desligasse todo fim de semana, estaria pensando em coisas como problemas de sincronização de Política de Grupo, objetos persistentes, reversões de USN , etc., etc. Não que isso seja provável que aconteça, mas eu certamente estaria pensando sobre essas questões se este fosse o SOP.

Answer 3

Este não é realmente um caso de uso projetado para AD. Em geral, existe uma suposição de design no Windows de que os controladores de domínio são executados constantemente até desaparecerem para sempre. Desligá-los muito por longos períodos criará erros de replicação e talvez até problemas de exclusão se eles voltarem após um longo período de inatividade.

Marcas para exclusão são registros sinalizados como excluídos por um período de espera para manter o diretório consistente durante a replicação.

Para obter mais informações sobre as diversas considerações introduzidas pelos controladores de domínio desconectados, confira a documentação:https://technet.microsoft.com/en-us/library/cc782557(v=ws.10).aspx

Mas, não só isso. Este plano não economizará nenhum dinheiro e provavelmente custará mais! Reserva de instância EC2oferece um desconto muito grande nas instâncias, assumindo 100% de uso. O melhor desconto vem da opção totalmente antecipada, onde você paga antecipadamente para que a instância funcione constantemente pelos próximos 1 ou 3 anos. Se o desconto for superior a 28%, como costuma acontecer, desligá-los dois dias por semana não economizará nenhum dinheiro.

Além disso, às vezes as pessoas usam o domínio no fim de semana e à noite.

Ainda mais do que isso, as práticas recomendadas geralmente determinam o uso de controladores de domínio como servidores DNS. Atualizações e tarefas em segundo plano tendem a exigir isso.

De qualquer forma, se você estiver usando três microinstâncias para seus DCs, suas cobranças de EC2 (para instâncias reservadas) provavelmente estarão em torno de US$ 300 por ano. Você pode reduzir esse valor em cerca de US $ 100, renunciando às reservas e executando-as apenas 8 horas por dia. Essa economia não compensa nem remotamente a quantidade de trabalho extra que isso lhe causará.

Mesmo um problema de replicação por ano causado por isto eliminará as poupanças do EC2 em mão-de-obra extra.

Answer 4

A resposta da Amazon à minha pergunta foi muito útil, eles entenderam a necessidade de fazer isso e descreveram possíveis problemas específicos com essa abordagem.

O principal ponto destacado foi que a única maneira de esse tipo de configuração funcionar é garantindo que todas as máquinas que dependem dos DCs EC2 sejam desligadas junto com elas, que é exatamente o que planejamos fazer.

Junto com isso, três outras considerações devem ser levadas em conta

1. Se você tiver funções FSMO neste DC, desligar os DC não seria a melhor prática
2. Esses DCs não estarão disponíveis para autenticação no momento em que estiverem desativados e as instâncias ou serviços retomarão a autenticação quando os DCs forem retomados
3. Você precisaria reservar tempo suficiente para garantir que eles tenham tempo suficiente para concluir a replicação depois de voltarem a funcionar.