Si intenta convencer a la gerencia, un buen comienzo sería que:
It goes against Microsoft's Best Practices for Active Directory Deployment.
Actualización : consulte este artículo de technet sobre cómo proteger los controladores de dominio contra ataques y la sección titulada Perimeter Firewall Restrictionsque dice:
Perimeter firewalls should be configured to block outbound connections
from domain controllers to the Internet.
Y la sección titulada Blocking Internet Access for Domain Controllersque dice:
Launching web browsers on domain controllers should be prohibited not only
by policy, but by technical controls, and domain controllers should not be
permitted to access the Internet
Estoy seguro de que puede obtener algo de documentación de Microsoft sobre el asunto, así que eso es todo. Además de eso, podría indicar los riesgos de tal movimiento, algo como:
A gaping hole would be created, possibly resulting in severe data loss and/or loss of company secrets.
Las credenciales almacenadas en caché son solo eso: almacenadas en caché. Funcionan para la máquina local cuando no se puede conectar al dominio , pero si esa cuenta estuviera deshabilitada, no funcionarían para ningún recurso de red (svn, vpn, smb, fbi, cia, etc.), por lo que no deben preocuparse por eso . También recuerde que los usuarios ya tienen derechos completos sobre cualquier archivo en su carpeta de perfil en una máquina local de todos modos (y probablemente en medios extraíbles), por lo que las credenciales deshabilitadas o no pueden hacer lo que quieran con esos datos. Tampoco funcionarían para la máquina local una vez que se vuelva a conectar a la red.
¿Se refiere a los servicios que proporciona Active Directory o un controlador de dominio, como LDAP? Si es así, LDAP a menudo se divide de forma segura para fines de autenticación y consulta de directorio, pero solo apagar el Firewall de Windows (o abrir todos los puertos necesarios al público: lo mismo en este ejemplo) podría causar problemas graves.
AD realmente no administra Macs, por lo que se requeriría una solución separada (piense en OS X Server). Puede unir una Mac a un dominio, pero eso hace poco más que permitir que se autentiquen con credenciales de red, establecer administradores de dominio como administradores locales en la Mac, etc. Sin política de grupo. MS está tratando de romper ese terreno con nuevas versiones de SCCM que afirman poder implementar aplicaciones en macs y * nix boxes, pero aún no lo he visto en un entorno de producción. También creo que podría configurar los Mac para conectarse al servidor OS X que se autenticaría en su directorio basado en AD, pero podría estar equivocado.
Dicho esto, se podrían idear algunas soluciones creativas, como la sugerencia de Evan de utilizar OpenVPN como servicio, y desactivar el certificado de máquina si llega el momento de dejar ir a ese empleado.
Parece que todo está basado en Google, ¿entonces Google está actuando como su servidor ldap? Recomendaría a mi cliente que lo mantenga así si es posible. No conozco la naturaleza de su negocio, pero para aplicaciones basadas en la web, como un servidor git o redmine, incluso cuando la configuración en casa puede autenticarse con OAuth, aprovechando una cuenta de Google.
Por último, una configuración de roadwarrior como esta casi requeriría una VPN para tener éxito. Una vez que las máquinas se llevan a la oficina y se configuran (o se configuran de forma remota a través de un script), necesitan una forma de recibir cualquier cambio en la configuración.
Los Mac necesitarían un enfoque de administración separado además de la VPN, es una lástima que ya no sean servidores Mac reales, pero tenían algunas implementaciones de políticas decentes en el servidor OS X la última vez que lo comprobé (hace un par de años )