Ai-je vraiment besoin de MS Active Directory? [fermé]

28

Je gère une boutique de 30 machines et 2 serveurs terminaux (une production, une veille). Dois-je vraiment déployer Active Directory dans notre réseau?

Y a-t-il vraiment des avantages, qui pourraient équilibrer l'existence d'un autre serveur AD? Notre Terminal Server doit fonctionner de manière indépendante, sans aucun autre service, à l'exception de notre application d'entreprise.

Quelles sont les grandes fonctionnalités qui me manquent si je vais toujours l'exécuter sans AD?

mise à jour : mais certains d'entre vous dirigent-ils une boutique réussie sans AD?

s.mihai
la source
Comment gérez-vous le courrier électronique et le partage de fichiers?
tomjedrz
Le courrier électronique est géré avec une solution de messagerie hébergée (également notre serveur Web est hébergé) POP et SMTP et l'accès avec Outlook Express. Le partage de fichiers est géré avec un dossier partagé sur le serveur de sauvegarde (c'est une sauvegarde à chaud, les utilisateurs changent simplement l'adresse IP du serveur puis ils se connectent au système de sauvegarde)
s.mihai
Comme mentionné ci-dessous, est-ce vraiment payant d'avoir 2 autres serveurs en tant que DC avec les coûts adiacent - matériel, licences, alimentation ???
s.mihai
Comment gérez-vous les autorisations des utilisateurs avec le partage de fichiers? vous avez 30 comptes d'utilisateurs sur la boîte?
Nick Kavadias
6
Donc, si une nouvelle personne démarre ou que quelqu'un quitte, vous devez parcourir toutes ces machines manuellement et corriger les comptes? Ou au moins plus qu'à un seul endroit?
Oskar Duveborn

Réponses:

0

Pour 30 machines? C'est entièrement facultatif.

Je gère plusieurs gros emplacements (30 ~ 125 systèmes / postes de travail par emplacement en moyenne) fonctionnant sans AD en utilisant Samba et des scripts batch / autoit. Ils fonctionnent bien, et à part les étranges mises à jour logicielles qui cassent les choses, ont été sans problème.

voltaire
la source
3
Wow, cette réponse a beaucoup changé au fil des révisions ...
Chris S
@Chris S - heh, yup. Je l'ai remarqué aussi.
EEAA
1
Si je pouvais supprimer le commentaire, je le ferais. Je ne suis pas un grand fan d'AD et je ne l'utilise que si nécessaire. Le libellé de la question d'origine a finalement été modifié, ce qui rend ma réponse (et celle d'un autre) hors sujet et pire encore, digne de grands votes négatifs de la part des personnes qui voient AD comme la seule solution; C'est pourquoi j'ai retiré les alternatives et la rhétorique qui ne sont plus applicables. Je ne suis pas un troll; donc si mes réponses sont si inutiles qu'elles méritent d'être marquées comme incorrectes, elles devraient simplement être supprimées.
voltaire
La question initiale était essentiellement: en ai-je vraiment besoin?
voltaire
32

L'utilisation d'Active Directory apporte un certain nombre d'avantages à votre réseau, quelques-uns auxquels je peux penser du haut de ma tête:

  • Gestion centralisée des comptes utilisateurs
  • Gestion centralisée des stratégies (stratégie de groupe)
  • Meilleure gestion de la sécurité
  • Réplication d'informations entre DC

Évidemment, ces avantages entraînent également des frais généraux, et beaucoup de travail et de temps sont nécessaires pour configurer un environnement AD, en particulier si vous avez une configuration existante, mais les avantages de la gestion centralisée qu'AD apporte en valent la peine, à mon avis .

Sam Cogan
la source
20

Quelques réponses "drive-by" ...

1- Si vous utilisez Exchange pour le courrier électronique, AD est requis. Vous n'utilisez probablement pas Exchange ou vous le savez, mais je l'inclus pour ceux qui envisagent cela.

2- AD gère un système "d'authentification centralisée". Vous contrôlez les utilisateurs, les groupes et les mots de passe en un seul endroit. Si vous n'avez pas AD, vous devrez probablement configurer vos utilisateurs séparément sur chaque serveur Terminal Server, ou avoir un utilisateur générique sur chacun pour accéder et utiliser la sécurité dans l'application.

3- Si vous avez d'autres serveurs Windows, AD permet une sécurisation directe des ressources sur ces serveurs en un seul endroit (AD).

4- AD inclut certains autres services (DNS, DHCP) qui, autrement, doivent être gérés séparément. Je soupçonne que vous ne les utilisez peut-être pas si les seuls serveurs Windows que vous avez sont les serveurs Terminal Server.

5- Bien que cela ne soit pas obligatoire, il y a un avantage à avoir les postes de travail dans le domaine. Cela permet certaines capacités d'authentification unique (non exhaustives) ainsi qu'un contrôle et une gestion importants des postes de travail via des «stratégies de groupe».
-> Par exemple, via GP, vous pouvez contrôler les paramètres de l'économiseur d'écran, ce qui nécessite que l'économiseur d'écran verrouille la station de travail après x minutes et que le mot de passe se déverrouille.

6- Vous pourriez être un bon candidat pour Microsoft Small Business Server si vous avez besoin de courrier électronique, de partage de fichiers, d'accès à distance et de service Web.

J'appuie la note concernant la présence de deux contrôleurs de domaine. Si vous n'avez qu'un seul DC et qu'il échoue, vous avez vraiment du mal à accéder aux choses. Il est (je crois) possible que les serveurs de terminaux soient également des contrôleurs de domaine, bien que je soupçonne que beaucoup ne le recommanderont pas. Dans un petit réseau comme le vôtre, la charge de travail DC sera insignifiante, donc cela pourrait fonctionner.


EDIT: dans un commentaire, M. mihai a demandé: "c'est leur intérêt de nous faire acheter tout ce que nous pouvons. Mais puis-je être OK sans AD? Comptes locaux, pas d'échange ....?!"

Si j'étais à votre place, j'utiliserais le projet TS comme excuse pour ajouter AD pour les avantages, en particulier sur les postes de travail. Mais il semble que votre décision soit prise et que vous vouliez vous couvrir, alors la voici.

ABSOLUMENT vous pouvez être OK sans AD.

tomjedrz
la source
Juste sur place. Avoir et maintenir AD nécessiterait 2 autres serveurs, car l'exécution de DC sur notre TS est hors de question, la dernière fois que j'ai vérifié la définition d'un DC, cela signifierait que le PC fonctionnerait plutôt plus lentement, en raison de la désactivation de la mise en cache, du ralentissement de l'accès au disque et d'autres choses que je n'ai pas comprises (j'en ai parlé avec les créateurs de notre application d'entreprise fonctionnant sur TS)
s.mihai
Je suis sceptique, à moins que le matériel TS ne soit déjà sous-alimenté. Je vais demander!
tomjedrz
non, pas besoin de couverture, je me demandais juste si ça valait vraiment le coût et je fais un équilibre. je ne voulais pas aller avec l'idée: <i> "si ça marche, pourquoi le changer" </i>
s.mihai
2
A voté pour la dernière ASSERTION AUDACIEUSE.
Joseph Kern
+1 à Joseph Kern - Merci! Ce n'est pas ma recommandation, mais cela fonctionnera.
tomjedrz
16

Du haut de ma tête:

  1. gestion et audit centralisés des utilisateurs et de la sécurité
  2. stratégies de groupe d'ordinateurs centralisées
  3. déploiement de logiciels (via GPO)

AD est également requis pour des applications telles que l'échange.

MS a un livre blanc pour vous sur ce sujet.

Nick Kavadias
la source
+1, doublon exact de ce que ma réponse allait être.
squillman
2
nous avons tous été endoctrinés par la formation ms! bon à voir
Nick Kavadias
c'est leur intérêt de nous faire acheter tout ce que nous pouvons. mais puis-je être OK sans AD? comptes locaux, pas d'échange ....?!
s.mihai
1
Vous pouvez vivre sans, mais voulez-vous? Ne pas l'avoir signifie plus de travail de gestion pour vous. Au minimum, vous auriez besoin d'une autre licence de serveur Windows (votre sauvegarde TS pourrait également devenir un serveur AD pour la redondance?) Les petites entreprises ont tendance à oublier que la main-d'œuvre est plus chère que les logiciels
Nick Kavadias
10

AD a de nombreuses fonctionnalités que vous pouvez trouver très utiles. Le premier est l'authentification centralisée. Tous les comptes d'utilisateurs sont gérés dans un seul emplacement. Cela signifie que vous pouvez utiliser vos informations d'identification sur n'importe quelle machine de l'environnement.

Un autre élément que cela permet est une meilleure sécurité pour le partage des ressources. Les groupes de sécurité sont très utiles pour cibler l'accès aux ressources telles que les partages de fichiers.

La stratégie de groupe vous permet d'appliquer des paramètres sur un certain nombre de machines ou d'utilisateurs. Cela vous permettrait de définir des stratégies différentes pour les utilisateurs se connectant aux serveurs Terminal Server et les utilisateurs se connectant à leurs postes de travail.

Si vous configurez vos serveurs Terminal Server correctement et en fonction des applications, l'authentification centralisée, les droits d'accès via les groupes de sécurité et les stratégies GPO vous permettraient d'utiliser les deux serveurs Terminal Server dans un style plus cluster que dans votre configuration actuelle où l'un est inactif. le temps que cela vous permettra d'évoluer vers plus de serveurs de terminaux (style N + 1) à mesure que le besoin de ressources augmente.

L'inconvénient est que vous ne pensez qu'à 1 contrôleur de domaine. Je recommande fortement 2. Cela garantit que vous n'avez pas un seul point de défaillance pour votre domaine Active Directory.

Comme mentionné dans plusieurs commentaires. Le coût est probablement un facteur important ici. Si l'interrogateur d'origine a une configuration entièrement fonctionnelle, il peut être hors de son budget d'apporter le matériel et les logiciels nécessaires pour faire face à un environnement de domaine Active Directory sans un cas écrasant pour justifier les coûts. Si tout fonctionne, AD n'est certainement pas nécessaire pour qu'un environnement fonctionne. Ceux d'entre nous qui l'ont utilisé dans des environnements d'entreprise dans le passé sont cependant de fervents partisans. Cela est largement dû au fait que cela rend le travail des administrateurs beaucoup plus facile à long terme.

Kevin Colby
la source
comme mentionné dans un autre commentaire, définir 2 DC et 2 autres serveurs ne justifierait pas l'argent requis pour les licences et le matériel et l'alimentation nécessaires pour faire fonctionner ces 34/7
s.mihai
1
Je suis sceptique quant à la nécessité d'un matériel supplémentaire.
tomjedrz
1
Le coût du matériel et des logiciels est certainement un problème. Cependant, il ne peut pas faire en sorte que ses serveurs Terminal Server agissent comme contrôleurs de domaine car les utilisateurs ne faisant pas partie du groupe Administrateurs de domaine n'ont pas le droit de se connecter à un contrôleur de domaine. Ce serait un problème de sécurité majeur s'il n'en était pas ainsi. Il est possible d'accorder des droits de connexion sur le DC à d'autres utilisateurs mais n'est pas pris en charge par Microsoft dans mon expérience.
Kevin Colby
Même un Small Business Server utilise AD, et pour les services Terminal Server depuis SBS2008, il faudra désormais 2 serveurs au total. Les microsofts considèrent que même un seul serveur avec 5 utilisateurs bénéficie d'AD. Je dirais que vous bénéficieriez de n'importe quel répertoire global, même dans votre propre maison privée en fait - il ne faut tout simplement pas être AD, mais je dirais que vous devriez utiliser QUELQUE répertoire global pour pouvoir gérer les utilisateurs et avoir une piste d'audit de travail autour. Et si vous utilisez déjà Windows, AD semble logique.
Oskar Duveborn
Même le Foundation Server, qui est presque gratuit, "l'édition de démarrage" de 15 utilisateurs de Windows Server utilise AD - et cela est destiné aux personnes qui pensent que SBS est trop.
Oskar Duveborn
6

J'ai récemment emménagé dans une boutique (relativement grande / prospère) sans MS AD. Bien sûr, vous passez à côté de l'authentification unique Microsoft / Windows, mais il existe d'autres solutions pour cela, telles que les proxys d'authentification (SiteMinder, webseal, etc.).

Alors oui, vous pouvez être une boutique prospère sans (MS) AD, il vous suffit de trouver l'alternative.

kolonell
la source
3
La seule alternative réaliste à MS AD est probablement Samba avec OpenLDAP. Je ne pense toujours pas que vous pouvez battre MS sur ROI même si l'alternative opensource est gratuite. Un singe aveugle peut configurer AD!
Nick Kavadias
6
Pourriez-vous définir "grand magasin"? Parlons-nous de systèmes 100-1000? Sans GPO (via AD), vous devez avoir une tonne d'entropie (c'est-à-dire des systèmes avec différentes configurations). Utilisez-vous actuellement quelque chose pour remplacer l'AD (autre que de l'huile de coude)? Honnêtement, lorsque je gère un réseau Windows, je suis trop paresseux pour ne pas exécuter AD ...
Joseph Kern
Pour moi, cela ressemble à réinventer un bycyle. Quelle véritable alternative à l'annonce utilisez-vous?
Taras Chuhay
1
Il me semble que l'OP cherchait simplement quelqu'un pour soutenir son idée que la MA n'est pas aussi utile que tout le monde le sonne. Il n'y a vraiment pas de remplacement mature pour une "grande boutique", bien que je suppose que la grande taille est subjective.
MDMarra
1
@ Nick Kavadias: Qui vous appelez un singe aveugle ?? ;)
GregD
6

Je pense que la plus grande question est pourquoi pas?

Laissez-vous les comptes d'utilisateurs séparés pour des raisons de sécurité? Les utilisateurs de chaque machine utilisent-ils uniquement cette machine?

Si les mêmes utilisateurs ont besoin d'utiliser toutes les machines, AD leur donnera les avantages suivants: Si la connexion au domaine leur fait confiance dans tous les endroits où ils et leurs groupes sont approuvés. S'ils changent de mot de passe, c'est la même chose partout; ils n'ont pas à se souvenir de le changer sur les 10 machines (ou pire, oubliez-le et vous avez besoin de le réinitialiser pour eux, toutes les deux semaines).

Pour vous, il offre l'avantage d'un contrôle central / global des autorisations. Si vous avez des dossiers qui ont des autorisations spéciales pour les groupes et qu'une nouvelle personne est embauchée, il vous suffit de les ajouter au groupe et c'est fait. vous n'avez pas besoin de vous attacher à chaque machine et de créer le même utilisateur encore et encore et de définir les autorisations.

La machine de chaque utilisateur sera également dans le domaine, elle peut donc être contrôlée par le domaine.

Je pense que le plus grand avantage, ce sont les GPO lorsqu'ils se connectent au domaine pour envoyer des politiques à leur PC qui peuvent protéger la sécurité de l'ensemble de votre réseau.

Cela étant dit, mon bureau est petit (environ 15) et nous n'avons pas de service informatique officiel. Donc, nous (sur) utilisons MS Groove comme infrastructure, et nous n'avons pas vraiment d'AD ou de serveurs centraux; Nous sommes basés sur un ordinateur portable.

John Christman
la source
+1 pour Groove! Super logiciel!
p.campbell
5

À mon avis, l'un des plus importants est l'authentification unique. Bien qu'il semble que vos utilisateurs finaux ne le remarquent probablement pas, c'est certainement une bonne chose du point de vue de l'administrateur. Vous n'avez qu'un seul mot de passe à suivre, et quand il s'agit de le changer, vous ne devez le faire qu'à un seul endroit, pas 32. Il y a beaucoup de choses que vous pouvez faire pour gérer votre environnement si vous n'avez pas peur des scripts .

sysadmin1138
la source
3
Surtout si vous voulez que les utilisateurs changent leurs mots de passe de temps en temps. C'est la principale raison pour laquelle nous sommes passés à AD.
Peter Turner
Eh bien ... ce n'est pas assez bon pour nous. Nous n'avons pas d'utilisateurs qui se déplacent autour de nos installations, et en ce qui concerne les nouveaux utilisateurs ... nous avons un personnel stable (pas beaucoup entrant / sortant de notre entreprise)
s.mihai
si vous ne recherchez qu'une connexion unique, vous pourriez aussi bien obtenir une solution LDAP nettement moins chère.
gbjbaanb
Est-ce que tout sauf AD s'intégrera à vos informations d'identification C + A + D?
James Risto
4

L'avantage de renoncer à AD est évidemment le coût.

Les avantages de l'AD se résument à 2 facteurs, si vous ne vous souciez pas d'eux, la réponse est "Non".

  • Gestion centralisée: des utilisateurs, des comptes d'ordinateurs, des lots, des mises à jour automatiques, du déploiement de logiciels, de la politique de groupe, etc. est maintenable. Que diriez-vous de 100? 256?)
  • Fondation d'extension: 2 contrôleurs AD semblent excessifs (bien que toujours nécessaires) pour un réseau de 30, mais ils sont suffisants pour 1000 à 1500 utilisateurs, je crois? Bien configuré, AD n'a pas besoin d'être modifié jusqu'à ce que vous deveniez beaucoup plus gros.

Je pense que le meilleur conseil est de parcourir la balise Active Directory ici sur SF au fur et à mesure qu'elle se remplit - pour voir si vous pouvez repérer suffisamment de fonctionnalités (par exemple Hyper V avec serveur 2008) qui profiteront à votre boutique pour que l'achat en vaille la peine.

Kara Marfia
la source
3
Je ne suis pas d'accord que deux contrôleurs de domaine pour un réseau digne d'un domaine (plus de 5 à 10 ordinateurs, à mon humble avis) pourraient jamais être excessifs. La seconde que ça vaut la peine d'avoir un DC, ça vaut la peine d'en avoir deux.
gWaldo
1
Vous avez raison - il est difficile de croire que je me sois jamais senti en sécurité avec un seul. ;)
Kara Marfia
2

Toutes les bonnes réponses ici. Je mets le pouce levé pour avoir également deux contrôleurs de domaine. Dans un petit environnement, même les mettre tous les deux en tant que VM sur le même matériel serait - OK. Quelqu'un peut probablement faire sonner cela avec plus d'autorité, mais si vous utilisez MS Hyper-V (serveur 2K8) en tant qu'hôte, vous pouvez bénéficier de certains avantages de licence du système d'exploitation?

Avoir l'authentification unique (SSO) / l'authentification unifiée vous fera économiser beaucoup de travail en créant des comptes et en définissant des autorisations de dossier partout. Bien sûr, mettre AD en place et ajouter les systèmes et les utilisateurs au domaine demandera un certain effort.

Jeff

Jeff Hengesbach
la source
2

Vous avez besoin d'une authentification et d'une gestion centralisées si vous avez l'intention de développer cet environnement. Même si vous n'avez pas l' intention de faire croître l'environnement, vous réaliserez des économies de temps très réelles dans le fonctionnement quotidien en mettant en œuvre une authentification et une autorisation centralisées maintenant.

S'il s'agit d'un environnement Windows, AD est la solution simple mais coûteuse. Si le coût est le point d'achoppement pour AD, alors implémentez Samba.

Cela semblera plus difficile au début, mais vous vous habituerez aux outils et vous regarderez en arrière et vous vous demanderez comment il n'était pas complètement évident pour vous que vous deviez faire cela.

Brian
la source
1

Vous n'avez PAS besoin d'AD. *

Grand cabinet d'avocats. Nous avons varié de ~ 103 à ~ 117 utilisateurs, avec 4 sites dans 3 États au cours des 2 dernières années, avec un roulement de stagiaires et de commis. Nous gérons toute l'entreprise avec 1 boîtier serveur pour domino / notes et comptabilité, quelques serveurs w2k8 dédiés pour les logiciels spécialisés, environ 5 ou 6 boîtiers Windows génériques dédiés pour diverses applications et ... 2 boîtiers linux pour tous les besoins des serveurs de fichiers et sauvegarde, plus une 3ème boîte pour un pare-feu. Tout fonctionne comme le lapin énergisant, et nous n'avons pas eu beaucoup de problèmes avec les fournisseurs ou les logiciels.

  • mais vous pouvez l'obtenir de toute façon. Microsoft a l'intention de rejoindre le collectif, et en plus de migrer complètement de Windows, vous êtes à peu près destiné à finir avec AD à long terme.
voltaire
la source
Qu'en est-il des cabinets d'avocats et de Lotus Domino / Notes? Presque tous ceux que j'ai vus l'utilisent ...
SilentW
C'était la "bonne solution" à l'époque, alors elle a été largement adoptée, est devenue courante et s'est transformée en ancre de bateau que personne n'aimait plus. C'est à peu près comme ça que la technologie va toujours ...
voltaire
0

Raisons d'utiliser Active Directory

  1. Groupe de sécurité utilisateur protégé
  2. Gestion centralisée des comptes utilisateurs
  3. Gestion centralisée des stratégies via des objets de stratégies de groupe
  4. Services gérés supplémentaires
  5. Meilleure gestion de la sécurité
  6. Réplication de profil
  7. Politiques d'authentification
  8. Corbeille AD
  9. Activation CAL
  10. Distribution des patchs
  11. Services Web AD
  12. Réinitialiser le mot de passe
  13. Authentification unique
  14. Authentification à deux facteurs
  15. Consolidation d'annuaire
  16. Partitions d'annuaire d'applications
  17. Mise en cache de groupe universelle
  18. Connexion au profil hybride
  19. Évolutivité sans complexité
  20. Environnement de développement puissant
  21. Duplication de session

J'ai réussi à exécuter un système sans Active Directory; cependant, vous devez compenser les demandes par des outils alternatifs. Je suis passé à AD chez environ 150 utilisateurs dans trois organisations différentes.

LJones
la source