Почему плохо развертывать службы удаленных рабочих столов на контроллере домена?
У меня есть приложение на VPS, и я хочу запускать его с помощью RemoteApp вместо того, чтобы подключать удаленный рабочий стол к серверу. Наш провайдер VPS может продать нам пакет из пяти лицензий RDS для использования, и этого будет достаточно.
Я планирую следовать этому руководству, в котором говорится, что это не рекомендуется по соображениям безопасности:
У меня есть приложение на VPS, и я хочу запускать его с помощью RemoteApp вместо того, чтобы подключать удаленный рабочий стол к серверу. Наш провайдер VPS может продать нам пакет из пяти лицензий RDS для использования, и этого будет достаточно.
Я планирую следовать этому руководству, в котором говорится, что это не рекомендуется по соображениям безопасности:
У меня есть приложение на VPS, и я хочу запускать его с помощью RemoteApp вместо того, чтобы подключать удаленный рабочий стол к серверу. Наш провайдер VPS может продать нам пакет из пяти лицензий RDS для использования, и этого будет достаточно.
Я планирую следовать этому руководству, в котором говорится, что это не рекомендуется по соображениям безопасности: https://ryanmangansitblog.com/2015/02/22/deploying-rds-2012-r2-on-a-domain-controller-the-walk-through-guide/
Another guide on how to set up a single server for remoteApp actually uses two servers: https://msfreaks.wordpress.com/2013/12/09/windows-2012-r2-remote-desktop-services-part-1/
Finally Microsoft have a guide on installing RDS on a DC that essentially just says no: https://technet.microsoft.com/en-us/library/cc742817(v=ws.11).aspx They say it is insecure and bad performance. We have a decent sized VPS though and trust the users.
My question is what is the security risk? The users running the remoteApp apps are trusted employees.
Я считаю, что это обычно считается плохой идеей, потому что контроллеры домена должны быть критическим сердцем вашей сети, хранящим все ключи от вашего королевства. Поэтому их следует оставлять в покое, а не смешивать с другими приложениями, и не входить в систему неадминистративным пользователям (или даже администраторам на регулярной основе), так что вероятность взлома этих критических данных будет меньше.
Однако в вашем конкретном случае, похоже, что единственной причиной существования AD будет поддержка установки RDS, так как вы не можете использовать ее вне основного режима удаленного администрирования, если только у вас нет домена. Поэтому, на мой взгляд, бросать все роли на один сервер для экономии расходов на хостинг - это просто замечательно. По сути, вы просто заменяете локальную базу данных SAM сервера на базу данных Active Directory. Атакующий, который компрометирует сервер и AD, не имеет значения, поскольку единственное, что использует AD, это службы на сервере, который был скомпрометирован. Поэтому вы стираете его и перестраиваете или восстанавливаете из резервной копии, ничего страшного.
Сочетание этих двух сервисов не создает на сервере, насколько я знаю, какой-то новой вулеристичности.