Domänencontroller verschicken?

[bgeltenpoth 10]

Hallo zusammen,

 

wir müssen für einen Kunden ein komplexes Softwaresystem installieren. Dieses System besteht aus mehreren Application Servern, Clustern mit MSSQL und Workstations. Die Server und Workstation müssen in die vom Kunden beigestellte AD Domäne installiert werden. Die Software kann auch nicht ohne Domänen Integration installiert werden. Aus Kostengründen soll die Installation natürlich hier bei uns im Werk passieren, während die Domäne natürlich vor Ort im Einsatz ist.

 

Tja...hier liegt der Hase im Pfeffer...geht das überhaupt einigermassen?

 

Die DC's sind beim Kunden bereits im produktiven Betrieb und können nicht zu uns kommen.

 

Die erste Idee war, einen Rechner Onsite als DC zu installieren und die benötigten FSMO Roles (Global Catalog, RID Master, PDC Emulator ... nochwas?) darauf zu geben. Dieser DC würde dann zu uns kommen und wir würden dann installieren.

Was würde dann aber die Domäne bei Kunden machen. Würde das funktionieren (mal angenommen der Kunde würd in der Zeit keine Rechner in die Domäne hängen wollen)? Würden sich die DC's bei der Onsite Inbetriebnahme wieder synchronisieren und die neuen Objekte übernehmen?

 

Die 2te Idee wäre dann eine eigene Site aufzumachen und z.B. nur per SMTP zu synchronisiren. Da müsste man dann allerdings durch mehrere Firewalls durch (inkl. NAT router), und ich bräuchte auch eine eigen IP Range (die ich hinterher wieder umstellen müsste, auch nicht schön....

 

Fragen:

Hat sowas schon mal jemand gemacht?

Gibt es bessere Ansätze?

 

Vielen Dank schon mal im voraus...

 

Liebe Grüsse

 

Benedikt

[LukasB 10]

Wie wärs mit einem einfachen Site to Site VPN, und ihr habt dann halt lokal keinen DC?

 

Sollte in fast allen Fällen funktionieren. Oder die Variante B: Ihr setzt alle Maschinen bei euch mit einem OS auf, installiert sie beim Kunden im Rack, und erledigt den Rest vom Büro aus per VPN/RDP/IMM/RSA/ILO.

[NilsK 2.930]

Moin,

 

eine direkte Netzwerkverbindung wäre in der Tat das Sinnvollste. Dafür sollten schon 64 kbit/s ausreichen.

 

Auch das Shipping ist grundsätzlich möglich, allerdings ist es unnötig (bzw. nicht sinnvoll), die Rollen auf den zu versendenden DC zu übertragen. Sofern das keine 60 Tage dauert, wäre es auch problemlos, den DC wieder in die Domäne zu bringen. Da das aber eine Reihe weiterer koordinierter Schritte erfordern würde, wäre eine Netzwerkverbindung vorzuziehen.

 

Abgesehen davon, müsstet ihr den DC auf dem Weg und bei euch physisch so absichern, dass kein Angriff passieren kann. Als Kunde würde ich so einem Versand nicht zustimmen.

 

SMTP-Replikation funktioniert faktisch nicht. Aber wie Lukas schon sagt, um einen DC zu erreichen, müsst ihr ja noch lange keinen haben - und eine Applikation hat direkt auf einem DC auch eher nichts zu suchen.

 

Gruß, Nils

[Daim 12]

Salut,

 

Sofern das keine 60 Tage dauert...

 

...bzw. 180 Tage, je nachdem mit welcher Serverversion die Gesamtstruktur erstellt wurde. ;)

 

LDAP://Yusufs.Directory.Blog/ - Die Tombstone Lifetime

[NilsK 2.930]

Moin,

 

...bzw. 180 Tage, je nachdem mit welcher Serverversion die Gesamtstruktur erstellt wurde. ;)

 

danke für diesen wertvollen Beitrag. ;)

 

Das ist prinzipiell natürlich richtig, aber wenn der TO den verschickten DC länger als 60 Tage in der Mache hätte, wäre an dem ganzen Vorgehen erheblich was nicht in Ordnung.

 

Gruß, Nils

... was allerdings auch schon bei 10 Tagen der Fall wäre ...

[Daim 12]

danke für diesen wertvollen Beitrag. ;)

 

Hey... wir diskutieren hier doch auf hohem Niveau. :cool:

 

... was allerdings auch schon bei 10 Tagen der Fall wäre ...

 

Es sollte sogar schon eine Woche reichen. Dabei kommt es natürlich immer auf das Vorhaben an.