Versión corta
¿Cuáles son los riesgos / beneficios / inconvenientes de RODC vs Child Domains vs Forest Trusts en AD
Background
Estoy trabajando con una compañía que tiene varios acuerdos comerciales entre muchas empresas pequeñas (200 a 400) y diversas necesidades de control, confianza y autonomía entre todas estas entidades comerciales.
La oficina corporativa tiene un bosque de AD que tiene el 80% de los usuarios en todas las empresas. El servidor de Exchange está aquí y la compañía actúa de manera similar a un BPOS / Office 365 en lo que respecta a brindar servicios a las empresas.
Ahora están considerando consolidar la carga de trabajo de TI entre los 200 silos y están considerando las siguientes opciones:
-
Bosques múltiples (Corporativo y uno para cada una de las 200 empresas) con fideicomisos forestales a Hosted Exchange
-
Subdominios / árboles en un bosque para cada compañía con un "dominio de recursos" para Exchange alojado
-
Use nuestro dominio actual e implemente un controlador de dominio de solo lectura (RODC) fuera de Hosted Exchange
-
Use nuestro dominio actual e implemente un controlador de dominio completo en el sitio remoto
-
Haga "algo" con Forefront Identity Manager (no estoy seguro de las características de FIM)
La mayoría de los acuerdos comerciales tienen una cláusula de rescisión de 5 años. En ese momento pueden terminar su relación o pueden renovar. Otros acuerdos comerciales son más estratégicos y queremos gestionar sus escritorios locales también.
Según mi conocimiento histórico de AD, ha sido (o aún puede ser) posible obtener derechos de permiso de administrador de empresa al comprometer un controlador de dominio secundario local.
Esto me lleva a preguntar lo siguiente:
¿Cómo implemento AD en una ubicación hostil? ¿Debo usar un RODC o Forest Trust?
¿Hay algún beneficio de seguridad al usar un dominio / árbol secundario en el bosque?
La sobrecarga adicional de personal / administración está relacionada con un "Bosque de recursos"