¿Debo tener un DC físico, incluso después del servidor 2012?

En los días anteriores a Windows Server 2012, la recomendación parecía ser tener al menos un controlador de dominio físico sentado junto a sus DC virtualizados.

Una justificación para esto fue porque si sus hosts Hyper-V estaban agrupados, entonces requerían que un DC fuera contactable durante el arranque. Esto tiene mucho sentido para mí.

Sin embargo, a menudo escuché a la gente decir que todavía es importante tener un DC físico, incluso si no tiene una configuración en clúster (por ejemplo, en una configuración simple con un solo servidor Hyper-V que ejecuta un par de máquinas virtuales, una de los cuales es un DC). La justificación de esto parecía (y nunca podría estar seguro) de que todavía tendría un problema en el sentido de que cuando el host Hyper-V se inicia por primera vez, no hay DC presente en la red. Las credenciales almacenadas en caché significan que aún puede iniciar sesión, pero ¿qué pasa con todos esos bits que ocurren durante el arranque que significan que tener un DC cerca es beneficioso? ¿Es esto realmente un problema? ¿Existe realmente alguna operación que pueda ejecutarse soloen el arranque que causará un problema? ¿Alguna política de grupo, por ejemplo? Básicamente, lo que pregunto es si el argumento físico de DC solo retiene el agua cuando se trata de clustering, o ¿hubo (antes de 2012) un caso técnico significativo para ello sin clustering? Este artículo de Altaro (ver la sección "El mito del huevo y la gallina") sugiere que no hay necesidad, pero aún no estoy seguro.

Ahora a la segunda (y principal) parte de mi pregunta:

Windows Server 2012 introdujo varias características destinadas a abordar los problemas relacionados con la virtualización de controladores de dominio, que incluyen:

1. ID de generación de VM : esto solucionó el problema de reversión de USN que significaba que las instantáneas (o más específicamente, volver a una instantánea) no eran compatibles / una idea realmente mala
2. Bootstrapping de clúster : Esto abordó el problema de "huevo y gallina" que rodea al clúster de conmutación por error que mencioné anteriormente. El clúster de conmutación por error ya no requiere que haya un DC durante el arranque.

Entonces mi segunda pregunta es similar a la primera, pero esta vez para 2012+. Suponiendo que tanto el vDC como el host sean 2012+ y elimine la agrupación de la ecuación, ¿hay otros problemas como los mencionados anteriormente que significan que aún debería considerar un DC físico? ¿Debo seguir considerando tener un DC físico junto con mi host único, no agrupado 2012 / 2012R2 Hyper-V que tiene un único DC virtualizado? Escuché que algunas personas sugieren poner AD en el host de Hyper-V, pero no me gusta esa idea por varias razones (la caché de WB está deshabilitada para empezar).

Como nota al margen, mi pregunta asume implícitamente que tiene sentido que su host Hyper-V se una al dominio para mejorar la capacidad de administración. ¿Esta afirmación resiste el escrutinio?

ACTUALIZAR:

Después de leer algunas respuestas, se me ocurrió que podría expresar las cosas de manera ligeramente diferente para llegar al fondo de lo que estoy preguntando:

Incluso con las mejoras en 2012 y posteriores, el hecho sigue siendo que sin ningún DC físico o DC virtual en otro host, el host aún se inicia cuando no hay DC disponibles. ¿Es esto realmente un problema? En cierto sentido, supongo que es la misma pregunta (o muy similar) si eliminas completamente la virtualización de la imagen. Si inicia servidores miembro antes que cualquier DC regularmente, ¿es eso un problema?

Yo tampoco haría que el host Hyper-V sea un DC.

En cuanto a si debe tener un DC físico o no, mi opinión es que con los cambios que Microsoft ha implementado con respecto a los controladores de dominio virtualizados en general y el arranque de clúster sin DC específicamente, no veo personalmente la necesidad ni defiendo Tener un DC físico. Mantener un DC físico parece contrario a la naturaleza de mover su infraestructura a una plataforma de virtualización. ¿Virtualizar toda mi infraestructura pero todo depende de que haya un único DC físico disponible? ¿Cuál es el punto en eso?

Hay formas de limitar su "exposición" mientras virtualiza sus controladores de dominio. Una forma sería implementar múltiples DC en diferentes hosts en su clúster y usar anti-afinidad para mantenerlos separados en caso de una falla del host (dependiendo de cuántos hosts hay en el clúster).

Si bien la respuesta de Greg incluye un enlace a algunas recomendaciones de MS, ese artículo tiene dos años y aborda Windows Server 2008 y 2008 R2. No consideraría ese artículo como la mejor práctica actual en relación con Windows Server 2012 y 2012 R2. No puedo encontrar un documento oficial de MS, pero este tipo se considera una autoridad líder en Hyper-V - http://www.aidanfinn.com/?p=13171

Una razón para retener un DC físico por dominio es que si hay un incidente importante que afecta al host o destruye el almacenamiento de trama para los DC virtualizados, tendría al menos un DC físico con almacenamiento local para realizar la recuperación y mantener la continuidad. Microsoft continúa realizando esta verificación y haciendo esta recomendación durante los RAP de Active Directory (evaluación y planificación de riesgos).

https://technet.microsoft.com/en-us/library/virtual_active_directory_domain_controller_virtualization_hyperv%28v=ws.10%29.aspx

"Mantenga controladores de dominio físicos en cada uno de sus dominios. Esto mitiga el riesgo de un mal funcionamiento de la plataforma de virtualización que afecta a todos los sistemas host que usan esa plataforma".

Siento que estás buscando una respuesta de una línea, así que aquí está:

Debe tener un DC físico si no confía en la capacidad de su entorno virtual para soportar fallas.

Podríamos hablar sobre las peculiaridades y excepciones con cada escenario, pero creo que esto toca la raíz de la pregunta.

Saquemos los grupos de la ecuación y concentrémonos en la línea en su pregunta que me hace estremecer.

¿Debo seguir considerando tener un DC físico junto con mi host único, no agrupado 2012 / 2012R2 Hyper-V que tiene un único DC virtualizado?

¿Por qué, por qué, por qué querrías un solo DC? En cualquier entorno, tratamos de evitar tener puntos únicos de falla para una infraestructura determinada. Los DC son su pan de cada día: proporcionan DNS, la columna vertebral de Active Directory. En serio, reconstruya una PC de escritorio con Windows 7 en 2008R2 y promocione. Hay siempre un caso fuerte para un DC física.

¿Hyper-V con AD DS? No simplemente no. En primer lugar, Microsoft no es compatible con esto. En segundo lugar, como mencionó, el manejo de las copias de seguridad se convertirá en un problema dependiente de la configuración de su disco. Sin mencionar que la belleza de la virtualización es la capacidad de retirar hosts físicos tan rápido como podemos construirlos (y agradezco que dcpromo no sea un gran problema (dependiendo del tamaño de su entorno)) y el alojamiento de AD DS simplemente complica importa También introduce otra complejidad de Windows Time.

Personalmente, dejo a mis hosts independientes de Hyper-V fuera del dominio, pero en realidad, no tengo ningún argumento real para ninguna de las configuraciones.

Para responder a la última pregunta sobre si esto es realmente un problema: he notado que mis hosts Hyper-V con RDP habilitado, pero que requieren NLA, no permiten RDP hasta después de reiniciar el servicio de reconocimiento de ubicación de red si no hay un DC cuando se inicia. También he tenido problemas ocasionales con la conexión remota a VMMS en estos puntos, pero solo cuando algo más también estaba roto. Cuando no puede ingresar RDP o conectarse al administrador de Hyper-V de forma remota, es realmente difícil descubrir qué está roto y arreglar las cosas. Mantener un DC físico alrededor ha evitado que esto me suceda en cualquier momento.