У таких решений проблемы с масштабированием и юзабельностью.Вот вы не лопните это настраивать для 10 000 машин раскиданых по всей планете?А если надо доступ ремотных сотрудников по VPN?Что, начинаем всасывать?А если доступ сотрудника из дома или ремотного офиса?С другой машины?Ы?В AD в этом плане просто - есть юзер, у него один логин и пароль которые годны для всего что доверяет данным контроллерам домена авторизацию.Есть удобное управление этим зоопарком.С какой именно машины юзер произведет логин вообще по барабану - набор прав и авторизация привязаны только к персоналии юзера.Собственно потому это и юзают.

А чтобы *все* приложения на основе именно этих данных аутентифицировали юзера и решали какие ему права можно?Да и MAC и IP как бы спуфнуть можно.Хапнув практически нахаляву чьи-то неслабые права.А при нужде "вон ту машину" отдать в другой отдел или другому сотруднику - упс... геморройчик с перераздачей прав обеспечен.

AD... нет, было бы желание а при физическом доступе к машине уж как минимум локально выполняемые политики и прочий шыт можно и заоверрайдить внаглую при наличии умений да и на некоторые ограничения будучи локальным админом можно в принципе с прибором положить.А pwned DC разумеется означает что pwned потенциально и вообще все что этому DC доверяло в плане авторизации.Тем не менее, с точки зрения сетевых дел довольно непозорный протокол керберос супротив ламерской привязки по MAC & IP от дебилов - разница однако.

> Централизация - это не всегда хорошо.

For sure. Если вы видите красивого огромного колосса, не забывайте все-таки о том что ноги у него все-таки из глины.AD в этом плане традиций не нарушило.

Отлично.А как насчет ситуации: есть файлы на ЛОКАЛЬНОМ сервере, есть юзеры, у некоего юзера есть доступ к нужным по его работе файлам.Допустим машина сдохла.Или ее отдали в другой отдел.Как, видны потенциальные грабельки?Да, если машин 10 - можно и так, с дерганием админа на каждый такой факт (как только не дернули - потенциально дыра в security т.к. посторонний сотрудник м этой машиной автоматически получает чужие права с какого-то хрена).А если машин 10 000 да еще в разных офисах - при таком подходе админу вообще проще будет застрелиться.

В общем у AD есть как минусы так и плюсы (главным из минусов является то что это решение - от такого отвратного вендора как Майкрософт что дает ему в *минус* сто очков форы, решения от MS имхо можно юзать только сугубо как last resort, потому как попадалово на много денег, постоянные дойки и несовместимость с тем за что не уплачено MS и т.п. "счастье" с дорогими лицензиями, дурным ограничиловом, навязанным набором далеко не бесплатного софта, невозможностью слезть по простому с продукции MS и т.п.).

Ну да. Зато когда заглючивает контроллер домена, у пользователя нет ничего - ни сети, ни интернета, ни почты. Это мы уже проходили. Корпоративную почту отстоять не удалось, купили-таки эксчейндж, зато вскоре после получения вожделенного мелкософтовского продукта прекратились всякие разговоры о дальнейшем изничтожении юникс-серверов в конторе. До покупки exchange почты не было только в одном случае - если вырубалось электричество, после покупки почта вставала колом при каждом чихе в ДНС...

Как же ты прав. Когда обслуживаешь один сервер, не понимаешь, что тут сложного, но когда их второй десяток на тебе и сервисов, ешь их мать, навалом, и разные. Начинаешь нервно думать, что ты сам себя где-то нае..л. А так, MS AD вещь в себе, отказ шлюза (другая машина) в принципе приводил к тому, что почта не заводилась. Только после рестарта самого сервера. Жуть...до сих пор не могу понять из-за чего. Чисто человеческое спасибо.