Ainda devo ter um controlador de domínio físico, mesmo após o Server 2012?

Nos dias anteriores ao Windows Server 2012, a recomendação parecia ter pelo menos um controlador de domínio físico sentado ao lado de seus controladores de domínio virtualizados.

Uma justificativa para isso era porque, se os hosts do Hyper-V estavam em cluster, eles exigiam que um controlador de domínio fosse contatado durante a inicialização. Isso faz total sentido para mim.

No entanto, eu sempre ouvia as pessoas dizerem que ainda é importante ter um controlador de domínio físico, mesmo que você não tenha um cluster configurado (por exemplo, em uma configuração simples com um único servidor Hyper-V executando duas VMs, uma dos quais é um CD). A justificativa para isso parecia (e eu nunca poderia ter certeza) de que você ainda teria um problema no sentido de que, quando o host Hyper-V for inicializado pela primeira vez, não haverá um controlador de domínio na rede. As credenciais em cache significam que você ainda pode fazer logon, mas e todos os bits que ocorrem durante a inicialização que significam ter um controlador de domínio por perto? Isso é realmente um problema? Na verdade, existem operações que podem executar apenasna inicialização que causará um problema? Alguma política de grupo, por exemplo? O que eu estou basicamente perguntando é: o argumento físico do DC realmente retém a água quando o cluster está envolvido, ou houve (antes de 2012) um caso técnico significativo para isso sem o cluster? Este artigo da Altaro (consulte a seção "Mito do ovo e da galinha") sugere que não há necessidade, mas ainda não tenho certeza.

Agora, para a segunda parte (e principal) da minha pergunta:

O Windows Server 2012 introduziu vários recursos direcionados para solucionar os problemas da virtualização de controladores de domínio, incluindo:

1. ID de geração da VM - solucionou o problema de reversão da USN que significava que o instantâneo (ou mais especificamente, o retorno a um instantâneo) não era suportado / era uma péssima ideia
2. Bootstrapping de cluster - abordou o problema "galinha e ovo" em torno do cluster de failover que mencionei acima. O clustering de failover não exige mais que um controlador de domínio esteja presente durante a inicialização.

Portanto, minha segunda pergunta é semelhante à primeira, mas desta vez para 2012 ou mais. Supondo que o vDC e o host tenham mais de 2012 e que você tire o agrupamento da equação, existem outros problemas como os mencionados acima que significam que eu ainda devo considerar um DC físico? Ainda devo considerar ter um controlador de domínio físico ao lado do meu host 2012 / 2012R2 Hyper-V único e sem cluster que possui um único controlador de domínio virtualizado? Ouvi algumas pessoas sugerindo colocar o AD no host Hyper-V, mas não gosto dessa ideia por vários motivos (o cache do WB é desativado para começar).

Como observação lateral, minha pergunta implica implicitamente que faz sentido ter seu host Hyper-V ingressado no domínio para melhorar a capacidade de gerenciamento. Esta afirmação resiste ao escrutínio?

ATUALIZAR:

Depois de ler algumas respostas, ocorreu-me que eu poderia expressar as coisas de maneira um pouco diferente para chegar ao âmago do que estou perguntando:

Mesmo com as melhorias em 2012 e posteriores, ainda permanece o fato de que, sem nenhum controlador de domínio físico ou controlador de domínio virtual em outro host, o host ainda inicializa quando não há controlador de domínio disponível. Isso é realmente um problema? Em certo sentido, suponho que seja a mesma pergunta (ou muito semelhante) se você tirar a virtualização completamente de cena. Se você iniciar servidores membros antes de qualquer controlador de domínio regularmente, isso é um problema?

Eu também não faria do host do Hyper-V um controlador de domínio.

Quanto à questão de saber se você deve ou não ter um controlador de domínio físico, minha opinião é que, com as mudanças que a Microsoft implementou em relação aos controladores de domínio virtualizados em geral e ao bootstrap de cluster sem controlador de domínio especificamente, eu pessoalmente não vejo a necessidade e não defendo tendo um CD físico. Manter um controlador de domínio físico parece contra-intuitivo a natureza de mover sua infraestrutura para uma plataforma de virtualização. Virtualize toda a minha infraestrutura, mas tudo depende de um único controlador de domínio físico disponível? Qual o sentido disso?

Existem maneiras de limitar sua "exposição" enquanto ainda virtualiza seus controladores de domínio. Uma maneira seria implantar vários controladores de domínio em hosts diferentes no cluster e usar a antin afinidade para mantê-los separados no caso de uma falha no host (dependendo de quantos hosts estiverem no cluster).

Embora a resposta de Greg inclua um link para algumas recomendações da Microsoft, esse artigo ainda tem dois anos e aborda o Windows Server 2008 e 2008 R2. Eu não consideraria esse artigo a melhor prática atual em relação ao Windows Server 2012 e 2012 R2. Não consigo encontrar um documento oficial do MS, mas esse cara é considerado uma das principais autoridades do Hyper-V - http://www.aidanfinn.com/?p=13171

Uma justificativa para reter um controlador de domínio físico por domínio é que, se houver um incidente grave que afete o host ou atrapalhe o armazenamento de quadros dos controladores de domínio virtualizados, você teria pelo menos um controlador de domínio de domínio físico com armazenamento local para executar a recuperação e manter a continuidade. A Microsoft continua a executar essa verificação e faz essa recomendação durante os RAPs do Active Directory (Avaliação e Planejamento de Riscos).

https://technet.microsoft.com/en-us/library/virtual_active_directory_domain_controller_virtualization_hyperv%28v=ws.10%29.aspx

"Mantenha controladores de domínio físicos em cada um dos seus domínios. Isso reduz o risco de um mau funcionamento da plataforma de virtualização que afeta todos os sistemas host que usam essa plataforma".

Sinto que você está procurando uma resposta em uma linha, então aqui está:

Você deve ter um controlador de domínio físico se não confiar na capacidade do seu ambiente virtual de suportar falhas.

Poderíamos nos aprofundar nas peculiaridades e exceções de cada cenário, mas acho que isso atinge a raiz da questão.

Vamos pegar os grupos da equação e focar na única linha da sua pergunta que me faz estremecer.

Ainda devo considerar ter um controlador de domínio físico ao lado do meu host 2012 / 2012R2 Hyper-V único e sem cluster que possui um único controlador de domínio virtualizado?

Por que, por que, por que, você quer um único CD? Em qualquer ambiente, tentamos evitar pontos únicos de falha para qualquer infraestrutura. Os DCs são o seu pão com manteiga - eles fornecem o DNS, a espinha dorsal do Active Directory. Sério, recrie um PC com Windows 7 Desktop em 2008R2 e promova-o. Sempre existe um argumento forte para um CD físico.

Hyper-V com AD DS? Não, apenas não. Em primeiro lugar, a Microsoft não suporta isso. Em segundo lugar, como você mencionou, o manuseio de backups se tornará um problema dependente da configuração do seu disco. Sem mencionar - a beleza da virtualização é a capacidade de retirar hosts físicos o mais rápido que podemos construí-los (e eu aprecio um dcpromo não é um grande negócio (dependendo do tamanho do seu ambiente)) e a hospedagem do AD DS apenas complica assuntos. Você também apresenta outra complexidade de horário do Windows.

Pessoalmente, deixo meus hosts Hyper-V independentes fora do domínio, mas, na realidade, não tenho argumentos reais para nenhuma das configurações.

Para responder à última pergunta sobre se isso realmente é um problema: notei que meus hosts Hyper-V com RDP ativado, mas exigindo NLA, não o permitem até que eu reinicie o serviço de reconhecimento de local de rede, se não houver um DC up quando inicializa. Também tive problemas ocasionais ao conectar-se ao VMMS remotamente nesses pontos, mas apenas quando outra coisa também foi interrompida. Quando você não pode efetuar o RDP ou conectar-se ao gerenciador do Hyper-V remotamente, é realmente difícil descobrir o que está quebrado e consertar as coisas. Manter um CD físico por perto impediu que isso acontecesse comigo a qualquer momento.