WSFC2016 多域部署模型

发布时间：2020-02-26 13:41:27 作者：老收藏家
来源：网络阅读：3433

Hi 各位关注老王博客的朋友，十一过后，我们又开始继续研究学习WSFC啦，本次为大家介绍的是WSFC 2016部署模型里面的多域架构

什么是多域呢，对于只了解WSFC的朋友来说，可能并不明白是什么意思，其实多域指的是一种AD域的逻辑范围，例如说，我北京有一个域，oa.com，天津有个子域，tj.oa.com，这两个域同属于一个林，oa.com林，它们在一个大的林中，但是父域与子域之间的域数据不会相同，虽然我们都在同一个林，但是我父域创建的用户和计算机，子域不会有，子域创建的用户和计算机父域也不会有，因此，虽然是同一个林中的多个域，但它们还是存在安全边界的。

一些企业，可能子公司那边有要求，需要自己维护用户计算机，而且不希望父域看到，那么就会要求自己建立子域，完全自己维护，或者父公司收购一家公司，做成单林多域树的架构，原理也是一样的，虽然可以建立信任关系，互相访问资源，但是各自的资源都由各自维护。

以上为大家解释了多域架构，简单来说，就是单林环境下的，父子域，或多域树，关键点是单林下的每个域都单独维护自己的用户和计算机对象。

那么回到我们群集的话题，多域架构，在之前的版本中是不可能实现的，在之前即便是两个互相信任的域，两边的节点想要一起做一个群集，向导不会通过，会指出当前节点不处于同一域中，这在以前是个死规则，在WSFC 2016 被改变

多域群集的话，在老王看来，在中国实际应用场景并不多，一旦部署群集，那大部分都是生产环境，要不就是测试环境，通常测试环境和生产环境都有单独的域，都可以直接用最传统的AD域架构，没必要搞得这么麻烦。

如果真的要想场景的话，可能，如果是一家大型的公司也说不定，大公司下面有多个子公司，有一天忽然和子公司谈好，我们来共同维护一套系统吧，一部分节点我们这里，一部分节点在你们那里。或者说，直接测试变生产，测试变准生产，把有问题的节点先加入到隔离群集中，等等。

不过不管怎么说，这现在是可行的，我们现在确实可以将单林多域的不同节点构建成同一个群集，那有些朋友可能会想，你这个既然有域了，我是不是就可以有CNO了，可以用Kerberos了？还不行，为什么呢，因为每个域都是互相独立运行的，如果是正常域节点创建群集向导，群集会去节点所在域写入CNO，你这两个节点是不同域，如果群集要写入，应该写入那个域呢？每个域都有自己的RID主机，每个域里面的计算机用户SID都会不一样，势必会有一部分节点无法正常验证

因此我们是没办法让多域群集写入CNO的，只有还和工作组群集一样，通过DNS记录作为管理访问点

多域部署模型要求如下

所有节点操作系统必须为Windows Server 2016
所有节点必须使用已经认证的标识硬件
所有节点必须安装故障转移群集功能
工作组模式群集需在各节点使用相同密码相同用户，该用户需要是本地管理组成员，如果是非administrator用户还需额外修改注册表键值
对于多域模式群集，要求每个节点需要有所有域的DNS后缀

可以看到，除了第五点，其它和工作组群集都一样，第五点我们需要在多域节点上面，分别增加对方域的DNS后缀即可，如果是DHCP环境，可以直接在DHCP Server上面做掉。

适用场景和工作组模型一样，按照微软的说法，最适合的为SQL Server SA验证

集群工作负载	支持/不支持	更多信息
SQL Server	支持	我们建议您使用SQL Server身份验证进行Active Directory独立的群集部署。
File server	支持，但不推荐	Kerberos身份验证是服务器消息块（SMB）流量的首选身份验证协议。
Hyper-V	支持，但不推荐	支持快速迁移，不支持实时迁移，因为它具有对Kerberos身份验证的依赖。
Message Queuing (also known as MSMQ)	不支持	消息队列存储属性在AD DS