warum Active Directory soll/muss getrennt sein mit TS?

[Barin]

Hallo zusammen,

Ich habe eine frage ?

warum Active Directory soll/muss getrrent sein mit TS? 

Ich habe auch gelessen dass man Active Directory + Terminalserver in ein server einrichten kann . Aber habe viel gesehen beides war getrennt.

Wenn beides zusammen einrichten ! was ist das Vor & Nachteile?

Wenn beides getrennt einrichten ! was ist das Vor&Nachteile ?

Vielen Herzlichen Dank für Ihre bemühungen.

Bearbeitet 8. März 2022 von Barin

[SR2021]

vor 23 Minuten schrieb Barin:

Ich habe auch gelessen dass man Active Directory + Terminalserver in ein server einrichten kann . Aber habe viel gesehen beides war getrennt.

Was meinst du in dem Fall mit Active Directory, den Domain Controller?

[Barin]

Ja

[Thanks-and-Goodbye]

An einem AD Controller können sich nur Domainadmins anmelden. Auf einem Terminalserver arbeiten Anwender mit normalen Userrechten. Finde den Unterschied.

[Gast Interrupt]

vor 2 Stunden schrieb Barin:

Ich habe auch gelessen dass man Active Directory + Terminalserver in ein server einrichten kann . Aber habe viel gesehen beides war getrennt.

Grundsätzlich (nicht nur in diesem Fall) gilt: ein Dienst - ein Server.

Früher hat man noch zahlreiche Dienste auf einem einzigen Server platziert, denn damals gab es noch keine Virtualisierungstechnik. Außerdem war damals die Hardware sehr teuer und generell war die Digitalisierung noch nicht so stark verbreitet und entwickelt wie heute.

Heutzutage ist das aber ein Unding. Stell dir mal vor, du möchtest einen Dienst skalieren, weil viele Benutzer nur auf einen speziellen Dienst angewiesen sind. Du müsstest den ganzen Server mit allen anderen Applikationen skalieren. Außerdem ist es sicherheitstechnisch problematisch. Angenommen der Server wird kompromittiert, dann ist die ganze Firma lahmgelegt und der Angreifer kommt sehr einfach an sehr vielen Informationen gleichzeitig ran.  

Außerdem lassen sich solche Systeme schlechter Verwalten. Heutzutage sind die IT-Infrastrukturen der Firmen sehr groß. Da braucht es einen guten Überblick. Mit dem Konzept "Ein Dienst - ein Server" kann man die Server einfach nach der Verwendung benennen z.B. ein Datenbankserver kann man dann als DB01 bezeichnen. Dann weiß jeder, dass es sich um einen Datenbankserver handelt.

MfG

Bearbeitet 8. März 2022 von Interrupt

[Phantom_T]

Moin,

also es gibt unzählige Gründe aus der Praxis, warum man einen RD-Host von anderen Infrastruktur-Diensten trennen sollte.

Wie meine Vorredner schrieben, der vermutlich wichtigste Aspekt ist die Security. Von der Einordnung her, ist ein Terminalserver eher wie eine Arbeitsmaschine anzusehen und unterliegt ähnlichen Gefahren: z.. Schadsoftware durch Mails, Websurfing etc.

Würdest Du auf einem Arbeitsplatzrechner wichtige zentrale Dienste lagern wollen?

Weitere Argumente für eine Trennung:

Windows Updates:
I.d.R. hast Du bei Terminals eine striktere Policy (kürzere Intervalle) was Updates angeht als auf einem DC.

Applikationen:
Je nach Struktur hast Du ggf. eine Menge an Fremdapplikationen, welche sowieso schon die Performance und Stabilität "gefährden".
Nun haben die Fremdapplikationen halt auch Updates, Patches, Upgrades etc. 

Skalierbarkeit:
Nehmen wir an, du brauchst mehr als einen Terminal und musst also eine RD-Farm aufbauen. Da sollten dann die einzelnen Terminals (VMs) 1:1 gleich sein damit für z.B. für Wartungszwecke oder bei Softwareausfall ein oder mehrere Offline geschaltet und getauscht werden können. Das ganze klappt dann nicht mehr vernünftig, wenn die Terminals dann noch weitere Aufgaben erfüllen.

[Maniska]

vor 7 Stunden schrieb Barin:

warum Active Directory soll/muss getrrent sein mit TS? 

Gute Frage, warum legen Geschäfte wichtige Unterlagen verschlossen ab und lagern das nicht einfach in den öffentlich für jedermann zugänglichen Räumlichkeiten?

Weil diese Dinge schützenswert sind. Im "besten" Fall ist es einfach nur schwer bis unmöglich zu administrieren, im schlimmsten Fall kann man seine kritischen Firmendaten auch direkt selbst nach China oder Russland schicken und anschließend verschlüsseln und den Schlüssel wegwerfen.

vor 7 Stunden schrieb Barin:

Ich habe auch gelessen dass man Active Directory + Terminalserver in ein server einrichten kann . Aber habe viel gesehen beides war getrennt.

Technisch möglich ist es, es gibt keine Einschränkung die es unmöglich macht beide Rollen parallel zu installieren. Ich kann mit meinem Auto auch in einen See fahren, technisch hält mich nichts davon ab, ob es aber klug ist...?

vor 7 Stunden schrieb Barin:

Wenn beides zusammen einrichten ! was ist das Vor & Nachteile?

Es gibt keine Vorteile. Früher, vor Virtualisierung etc, hat man, wie hier schon gesagt wurde manchmal mehrere Dienste auf der selben Hardware laufen lassen, aber selbst damals war es absolut bescheuert für User frei zugängliche Services und grundlegende Domänendienste auf dem selben Server laufen zu lassen.

vor 7 Stunden schrieb Barin:

Wenn beides getrennt einrichten ! was ist das Vor&Nachteile ?

Sicherheit? Und wenn das nicht reicht: Sicherheit! Und wenn man es trotzdem macht? Dummheit!

[ickevondepinguin]

vor 13 Stunden schrieb Maniska:

Es gibt keine Vorteile. Früher, vor Virtualisierung etc, hat man, wie hier schon gesagt wurde manchmal mehrere Dienste auf der selben Hardware laufen lassen

Das. Deswegen gehts auch. Hatte das bei einigen Kunden aus der SBS2011-Ära gesehen....

[Thanks-and-Goodbye]

vor 14 Stunden schrieb Maniska:

für User frei zugängliche Services und grundlegende Domänendienste auf dem selben Server laufen zu lassen.

Vor allem weil man dafür mir dem Vorschlaghammer auf sinnvolle Sicherheitsrichtlinien einprügeln muss. An einem DC melden sich Domänenadmins an. Niemand anders.