Yönetimi ikna etmeye çalışıyorsanız, iyi bir başlangıç olacaktır:
It goes against Microsoft's Best Practices for Active Directory Deployment.
Güncelleme : Etki alanı denetleyicilerini saldırılara karşı güvence altına almakla ilgili bu teknik makaleye ve bunun başlıklı bölüme bakın Perimeter Firewall Restrictions:
Perimeter firewalls should be configured to block outbound connections
from domain controllers to the Internet.
Ve Blocking Internet Access for Domain Controllershangi başlıklı bölüm :
Launching web browsers on domain controllers should be prohibited not only
by policy, but by technical controls, and domain controllers should not be
permitted to access the Internet
Bu konuda bazı Microsoft belgelerini hazırlayabileceğinize eminim, o kadar. Buna ek olarak, böyle bir hareketin tehlikelerini, aşağıdakiler boyunca bir şeyi belirtebilirsiniz:
A gaping hole would be created, possibly resulting in severe data loss and/or loss of company secrets.
Önbelleğe alınmış kimlik bilgileri tam olarak bu - önbelleğe alınmış. Etki alanına bağlanamadığında yerel makine için çalışırlar , ancak bu hesap devre dışı bırakılırsa herhangi bir ağ kaynağı için çalışmaz (svn, vpn, smb, fbi, cia, vb.), Bu yüzden endişelenmeleri gerekmez. . Ayrıca, kullanıcıların zaten zaten yerel bir makinedeki profil klasöründeki herhangi bir dosya (ve muhtemelen çıkarılabilir medya) üzerindeki tüm haklarına sahip olduklarını, bu nedenle devre dışı bırakılmış kimlik bilgilerinin bu verilerle istediklerini yapabileceklerini unutmayın. Ayrıca, ağa yeniden bağlandığında yerel makine için çalışmazlar.
LDAP gibi Active Directory veya bir Etki Alanı Denetleyicisinin sağladığı hizmetlerden mi bahsediyorsunuz? Öyleyse, LDAP genellikle kimlik doğrulama ve dizin sorgulama amacıyla güvenli bir şekilde bozulur, ancak yalnızca Windows Güvenlik Duvarı'nı kapatmak (veya gerekli tüm bağlantı noktalarını halka açmak - bu örnekte aynı şey) ciddi sorunlara neden olabilir.
AD, Mac'leri gerçekten yönetmiyor , bu nedenle ayrı bir çözüm gerekli olacak (OS X Server'ı düşünün). Bir Mac'e bir etki alanına katılabilirsiniz, ancak bu, ağ kimlik bilgileriyle kimlik doğrulamalarına izin vermekten çok daha fazlasını yapar, etki alanı yöneticilerini mac'ta yerel yöneticiler olarak ayarlar, vb. Grup politikası yok. MS, uygulamaları mac'lara ve * nix kutularına dağıtabildiğini iddia eden daha yeni SCCM sürümleriyle bu temeli atmaya çalışıyor, ancak henüz bir üretim ortamında görmedim. Ayrıca, mac'ları AD tabanlı dizininize doğrulayacak olan OS X Server'a bağlanacak şekilde yapılandırabileceğinize inanıyorum, ancak hatalı olabilirim.
Bununla birlikte, Evan'ın bir hizmet olarak OpenVPN'i kullanma önerisi ve bu çalışanın gitmesine izin verme zamanı geldiğinde makine sertifikasını devre dışı bırakmak gibi bazı yaratıcı çözümler tasarlanabilir.
Her şey Google tabanlı gibi görünüyor, bu yüzden Google ldap sunucunuz olarak mı hareket ediyor? Müvekkilimin mümkün olduğunca mümkünse bu şekilde kalmasını tavsiye ederim. İşletmenizin doğasını bilmiyorum, ancak git veya redmine sunucusu gibi web tabanlı uygulamalar için, evde kurulum OAuth ile kimlik doğrulaması yapabiliyor olsa bile, bir Google hesabından yararlanarak.
Son olarak, bunun gibi bir roadwarrior kurulum neredeyse ediyorum gerektiren başarılı olmak için VPN. Makineler ofise getirildikten ve yapılandırıldıktan sonra (veya komut dosyasıyla uzaktan yapılandırılmışsa), yapılandırmada herhangi bir değişiklik almanın bir yoluna ihtiyaç duyarlar.
Mac'lerin VPN'ye ek olarak ayrı bir yönetim yaklaşımına ihtiyacı olacak, artık gerçek mac sunucuları yapamayacakları çok kötü, ancak en son kontrol ettiğimde (birkaç yıl önce OS X Server'da bazı iyi politika uygulamaları yapmışlardı) ).