Domain Controller virtualisieren – ja oder nein?

Domain Controller sind das Rückgrat der Sicherheits­infra­struktur. Domänen-Adminis­tratoren agieren deshalb auf der höchsten Vertrauensebene, sowohl was ihr Können als auch was ihre Sicherheitseinstufung betrifft. Diese Rechte brauchen sie auch, etwa um einen ausgefallenen DC wieder aufsetzen zu können. Müssen sie dazu erst mit einem Virtualisierungsadministrator verhandeln, um Zugriff auf den physischen Host zu bekommen, bringt dies Komplexitäten mit sich.

Auch umgekehrt entspricht es nicht jedem Falle der Sicherheitshierarchie, dass die Virtualisierungsadministratoren physischen Zugriff auf die DCs haben sollten, die ja nur eine Datei darstellen. Nebeneinanderlaufende und sich ab und zu überkreuzende Rollen von VM- und AD-Admins bergen deshalb Konfliktpotential und können zu Reibungsverlusten führen, ganz abgesehen von potentiellen Sicherheitsproblemen. Wo dies unvermeidbar ist, sollten zumindest Dinge sichergestellt sein wie die, virtualisierte DCs automatisch mit dem Host starten zu lassen, damit eine solch grundlegende Aktion nicht etwa zwei Administratoren erfordert.

Ressourcenbedarf

DCs sind bekannt für ihre hohe Auslastung von Speicherplatz, I/O und Hauptspeicher. Eines der sonstigen Hauptargumente für Virtualisierung trifft bei ihnen fast nie zu, nämlich das, dass die meisten Server nur ca. 20% ausgelastet seien. Mehrere DCs auf einem physischen Host zu bündeln ist deshalb nicht sinnvoll: Das hierfür unterstellte Szenario wäre mit einem physischen DC besser bedient, der dann Storage, I/O und RAM exklusiv verwenden könnte. Außerdem schafft es einem empfindlichen SPOF. DC-Virtualisierung ist deshalb nur sinnvoll, wenn jeweils ein DC mit wirklich nur teilweise ausgelasteten anderen Servern zusammen auf einem physischen Host untergebracht wird.

Ob diese wirklich so wenig Ressourcen abzweigen, dass dies den DC-Betrieb nicht beeinträchtigt, und ob diese Aussage auch für eventuelle Burst-Zeiten aufrechterhalten werden kann, muss gründlich evaluiert werden – gründlicher als für andere Server-Typen. Dass sich am Ende jeder DC aus seinem eigenen physischen Host befindet, ist ein sehr wahrscheinliches Ergebnis.

Administration, Backup und Restore

Domain Controller dürfen weder per VHD-Kopie gesichert, von einer solchen wiederhergestellt, noch Snapshots von ihnen erstellt werden. Wesentliche Vorteile der Virtualisierung treffen deshalb auf DCs nicht zu – kein Hinderungsgrund, aber einer mehr abzuwägen, ob ein DC auf einer VM wirklich sinnvoller untergebracht ist als auf einem physischen Host. Virtuelle Domain Controller müssen deshalb so konfiguriert werden, dass die im Falle eines Host-Shutdowns ebenfalls heruntergefahren werden, und zwar ohne dass ihr Status gesichert wird.

Diese Überlegungen machen die Virtualisierung von Domain Controllern nicht unmöglich oder erschweren sie über die Maßen. Sie stellen allerdings die Frage nach dem Sinn bei diesem Server-Typ strenger, als dies bei anderen der Fall wäre. Generell gilt, dass man mit virtualisierten DCs nichts tun sollte, was dieser selbst – und damit das Active Directory – nicht wie ein physisches Pendant registrieren könnte, und damit fallen sehr viele Virtualisierungs­tools und -Techniken für diese VM-Klasse weg.