天丫

虛擬網域控制站具有下列優點：

• 合併。您可以利用 Hyper-V 將多個網域控制站與其他應用程式伺服器合併成較少的伺服器。在為一或多個其他站台出現之小型網域提供服務的中樞站台中，如果有多個網域控制站，就不必部署多個實體網域控制站來提供 Bridgehead 伺服器與支援備援。
  
  
• 測試。因為測試環境很少需要高效能的網域控制站，所以您可以使用比有虛擬技術之前更少的硬體來設定代表生產環境的測試設定。您可以在具有與生產網域控制台相同 Active Directory 設定 (包括網域與站台) 的一些實體電腦上，代表許多網域控制站。在生產環境進行變更之前，可以先測試複雜的變更，例如結構描述變更或大幅度的 Active Directory 站台或複寫變更。
  
  
• 部署。在虛擬機器的存留時間中，Hyper-V 所模擬的硬體環境維持不變，無論要傳輸虛擬機器所用的原生硬體目的地為何。因此，即使預定的生產伺服器可能有很大的差異，您也可以在預先生產環境中改變伺服器硬體來建置和測試這些映像。
  
  
• 效能。如果您遵循本指南各主題中所有的效能建議，則可以預期在重負載的虛擬機器中執行的單一網域控制站，其效能只比在相同規格的原生硬體上執行的單一網域控制站降低百分之 2 至 12。
  
  

本指南包含在生產環境中執行網域控制站虛擬機器之風險的相關重要資訊。虛擬硬碟 (VHD) 檔案很容易使用，但也可能很容易被誤用，這就是為何在生產環境中部署這些檔案時要特別小心管理它們的原因。在考慮是否在虛擬機器中執行網域控制站時，請記得處理 VHD 映像檔案不當時可能導致整個樹系的毀損。不當處理 VHD 檔案，可能與像啟動舊版 VHD 檔案、複製 VHD 檔案至網路其他位置以及同時執行多個複本一樣簡單。

虛擬網域控制站具有下列缺點：

• 管理。在生產環境中，有意或不小心誤用 VHD 檔案會毀損整個樹系的資料。在多數情況下，作業系統可偵測到不當的還原狀況並停止複寫。然而，這無法保證可以在所有狀況下保護資料。若要保護樹系免於受到在虛擬機器中執行之網域控制器不當還原的影響，請確定組織中所有的系統管理員都已經檢閱附錄 A：虛擬網域控制站以及複寫問題中的資訊。
  
  
• 安全性與映像檔案的處理。處理 VHD 檔案或具有 VHD 檔案其他存取權的任何人，都必須是組織中受到高度信任的人，而且是樹系中受信任安全性群組的成員。有能力複製 VHD 檔案的任何人都能有效地擁有樹系及其資料。攻擊者或未獲授權的系統管理員可以使用複製的虛擬機器檔案來洩漏密碼或毀損樹系。而且，不同於偷竊實體電腦，偷竊 VHD 檔案更難以偵測。因此，您應該使用保護實體網域控制站的相同實體限制與軟體限制，來保護主機作業系統與客體作業系統的 VHD 檔案。這些限制包括控制檔案的存取權以及稽核檔案存取權，如本主題稍後討論的＜安全性考量＞所述。
  
  

使用虛擬機器可讓網域控制站有許多不同的設定。您必須仔細考量虛擬機器影響 Active Directory 拓撲範圍與信任的方式。Active Directory 網域控制站與主機 (Hyper-V 伺服器) 及其客體電腦 (在 Hyper-V 伺服器上執行的虛擬機器) 的可能設定，在下表有詳細說明。

設定 1 是您使用 Hyper-V 時建議採用的網域控制站設定。在此設定中，必須考慮下列項目：

• 主機電腦的系統管理員與可寫入網域控制站客體上的網域系統管理員擁有相同的存取權，而且必須視為如此。在 RODC 客體的情況下，主機電腦的系統管理員與客體 RODC 上的本機系統管理員擁有相同的存取權。
  
  
• 如果主機加入相同的網域，則虛擬機器中的網域控制站擁有該主機的系統管理權限。如果惡意使用者先取得虛擬機器 1 的存取權，則惡意使用者有機會可以危害所有虛擬機器。這也稱為攻擊向量。如果網域控制站用於多個網域或樹系，則應該集中管理這些網域，其中單一網域的系統管理員要受到所有網域的信任。
  
  
• 即使將虛擬機器 1 安裝為 RODC，仍然有機會從虛擬機器 1 進行攻擊。雖然 RODC 的系統管理員並非明確擁有網域系統管理員權限，但仍可使用 RODC 傳送原則給主機電腦。這些原則可能包含啟動指令碼。如果成功完成此操作，可能會危害主機電腦，然後再用它來危害主機電腦上的其他虛擬機器。
  
  

在設定 2 中，主機電腦是啟用 Hyper-V 角色的網域控制站。然而，如果設定 Active Directory 網域服務 (AD DS) 使用限制委派，則不會自動為虛擬機器 (也就是非網域控制站虛擬機器) 建立服務主要名稱 (SPN)。因此，必須手動建立這些 SPN。若要新增限制委派的 SPN，請完成下列程序。

在執行 Hyper-V 並要設定限制委派的網域控制站上，請執行下列程序。

1. 開啟具有提升之權限的 [命令提示字元] 視窗。若要開啟具有提升之權限的 [命令提示字元] 視窗，請按一下 [開始]。在 [開始搜尋] 中，輸入命令提示字元。在 [開始] 功能表中，在 [命令提示字元] 上按一下滑鼠右鍵，然後按一下 [以系統管理員身分執行]。

2. 在命令提示字元中輸入下列命令，然後按 ENTER 鍵：

   SETSPN -A Microsoft Virtual Console Service/<NetBIOS name> <NetBIOS name>

   SETSPN -A Microsoft Virtual Console Service/<FQDN> <NetBIOS name>

   在這些 SETSPN 命令中，對於 <NetBIOS name>.，請輸入網域控制站的 NetBIOS 電腦名稱 (例如 SERVER1)。對於 <FQDN>，請輸入網域控制站的完整網域名稱 (FQDN) (例如 server1.corp.contoso.com)。

備註
以 Setspn.exe 處理資訊方式的結果，您必須在指示的位置輸入兩次 NetBIOS 名稱，其間以空格分開。

如需限制委派功能的相關資訊，請參閱＜Kerberos 通訊協定轉換與限制委派＞(http://go.microsoft.com/fwlink/?LinkId=137041 (可能為英文網頁))。

在設定 3 中，主機與客體都是網域控制站。只要所有網域控制站都來自相同樹系，此設定不會引起任何安全性問題。在此情況下，登入 Hyper-V 伺服器 (主機) 的使用者應該被視為擁有虛擬網域控制站 (客體) 之網域的預設網域系統管理員權限。

VHD 檔案的安全性

RODC 的一個優點是可以將它們放在無法保證實體安全性的位置 (例如分公司)。在此情況下，必須花費更多精神來減少攻擊的影響。您可以使用 Windows(R) BitLocker(TM) 磁碟機加密來保護主機上 VHD 檔案免受實體硬碟失竊的危害。 如需 Hyper-V 中 BitLocker 的相關資訊，請參閱＜Windows Server 2008 Hyper-V 與 BitLocker 磁碟機加密＞(http://go.microsoft.com/fwlink/?LinkID=123534 (可能為英文網頁))。

裝載大多數操作主機 (也稱為彈性單一主機操作或 FSMO) 角色的網域控制站，不會明顯比其他網域控制站有更多的工作量。因此，它們在虛擬化時不需要特別考量。Bridgehead 伺服器則不需要特別考量其效能。

網域主控站 (PDC) 模擬器操作主機角色是個例外，它的處理器工作量通常比其他操作主機角色更大。因此，您可以決定使用實體電腦來裝載 PDC 模擬器角色以改善效能。

設定為通用類別目錄伺服器的網域控制站，一般會為執行 Microsoft Exchange Server 的伺服器提供目錄服務，它的效能工作量可能大於網路中其他網域控制站。例如，當 Exchange Server 展開通訊群組清單時，會為提供通用類別目錄服務的網域控制站帶來大量的工作量。基於效能考量，請考慮使用實體伺服器來取代虛擬機器做為提供 Exchange Server 目錄服務的通用類別目錄伺服器。