为什么我要为AD选择注册域的子域(除了必须键入"www“来访问comapny网站？)

Question

所有互联网上的最佳实践都会让您相信，如果您注册company.com作为您的公共域名，然后在Active Directory 这里和这里中使用相同的域名，您就会相信这一天会降临到您的头上。然而，在所有这些可怕的警告中，我所见过的唯一具体原因是，内部DNS上的用户必须键入www.company.com才能访问外部网站，而不仅仅是company.com。MS暗示了一些将被打破的“未来兼容性”，但从我所读到的关于这个主题的论坛帖子来看，这种智慧至少从2008年的服务器开始出现。

由于某些原因，这些警告中的许多似乎也假设，如果您使用相同的DNS名称用于AD，则您将AD区域暴露在internet上，并允许外部解析所有内部名称。这绝对不是我要问的。

假设我忽略了这个建议，并使用company.com作为我的广告名称。潜在的问题是：

• 在web浏览器中键入company.com将尝试转到域控制器而不是www.company.com。一点都不成问题。
• 内部的名字都是内部的。在我们的互联网访问区域文件中没有dc01.company.com A记录。外部名称如www、vpn、mail都与我们的内部DNS无关。
• 这 TechNet的文章对诸如“不那么灵活、更少自动化的DNS操作”和“不稳定的碳化硅操作和不太理想的性能”之类的事情提出了警告，但没有提供任何细节或原因。

假设我遵循这样的建议，很多人都把它放在心上，并使用ad.company.com。我现在要谈一谈以下几个问题：

• 有一个不匹配域名的不同的NETBIOS名称。这并不是真的困扰我，但这是你必须考虑的事情。
• 在ADUC中创建用户时，默认的UPN后缀是@ad.company.com。用户的UPN后缀应该与他们的电子邮件地址相匹配，因此任何创建用户的人都必须知道要使用哪个UPN后缀，并且它不是默认的。还有一件事要忘记。
• 广告仍然需要ad.company.com DNS区域才能运行。如果我希望计算机可以解析为computer.company.com，我必须管理另一个DNS区域，以及DNS注册后缀和搜索后缀。

所有这些都是为了让人们不必输入"www“(对我来说，这与实际问题相去甚远，甚至在我的雷达上都没有)？

使用公开注册的域名作为AD域名的实际危险是什么？

额外的问题:当AD有一个用于AD相关信息的完整company.com名称空间时，让_msdcs首先指向域控制器的目的是什么？

Answer 1

有一个不匹配域名的不同的NETBIOS名称。这并不是真的困扰我，但这是你必须考虑的事情。

完全没有，在创建域时，您肯定能够指定域的NetBIOS名称。

在ADUC中创建用户时，默认的UPN后缀是@ad.company.com。用户的UPN后缀应该与他们的电子邮件地址相匹配，因此任何创建用户的人都必须知道要使用哪个UPN后缀，并且它不是默认的。还有一件事要忘记。

如果没有的话，我们就应该迅速接近自动登入新账户的时间，或者是脚本化的新账户。这将减轻您对使用错误的UPN后缀创建用户时可能发生的情况的担忧。

或者，简单地进行夜间清理任务，查找具有不正确的UPN后缀并相应更新的用户帐户，这是一件微不足道的事情。

所有这些都是为了让人们不必输入"www“(对我来说，这与实际问题相去甚远，甚至在我的雷达上都没有)？

不，我认为这样做的目的是避免分裂大脑DNS，其中两个不同的DNS基础设施负责相同的命名空间。不过，这对你来说不是问题，但这并不意味着它在将来不会成为你或你的继任者的问题--特别是因为这是一个最佳实践，所以解决方案供应商可能会考虑到这一点来设计解决方案。

使用公开注册的域名作为AD域名的实际危险是什么？

我不知道是否存在巨大的“危险”(当然不是你认为是危险的危险-因为你没有在文章中提到任何其他潜在的问题)；然而，我的经验是，当一个人被普遍接受(实际上是供应商定义的)“最佳实践”时，他不会在没有有效的业务或技术理由的情况下偏离最佳实践。

编辑:为了它的价值--以最尊重的方式--我没有看到任何有效的商业或技术理由来证明为什么最好的做法应该被忽视。因此，我建议善待你的雇主和你的继任者--从一个与最佳实践相一致的环境开始。

Answer 2

用户的UPN后缀应该与他们的电子邮件地址相匹配，因此任何创建用户的人都必须知道要使用哪个UPN后缀，并且它不是默认的。

没有技术原因，UPN后缀需要匹配的电子邮件地址。

微软的想法是，用户记住他们的电子邮件地址比记住他们的用户名更容易，因此使用与电子邮件地址相匹配的UPN后缀/用户主体名称将使登录过程对用户来说更容易，更直观。问题是它从来没有真正流行起来。

您可能希望UPN后缀与电子邮件地址相匹配的原因之一是如果您要将您的在线用户同步到Office 365。同样，这不是一个技术要求，但它使用户在访问Office 365服务(如Exchange和Sharepoint Online )时更容易、更直观。