Virtualiser domenekontrollere

Man skulle tro at ideen om å virtualisere Active Directory-domenekontrollere ikke var et tema som trengte diskusjon, og likevel finner jeg at spørsmålet jevnlig dukker opp om AD-DC-er bør virtualiseres eller ikke. I teorien er det ingen grunn til å stille dette spørsmålet, ettersom vi har langt mer generell veiledning i bransjen som forteller oss at alle mulige arbeidsbelastninger bør virtualiseres, og AD presenterer ingen spesielle tilfeller som gir grunnlag for et unntak fra denne langvarige og generelle regelen.

Merkelig nok ser folk ut til å jevnlig søke avklaring om akkurat denne ene arbeidsbelastningen, og hvis du søker dårlige råd, er det alltid noen som gir dem. Mange poster råd der de anbefaler fysiske servere for Active Directory, men sjelden, om noen gang, med noen forklaring på hvorfor de vil anbefale å bryte god praksis, langt mindre med en så hverdagslig og velkjent arbeidsbelastning.

Hvorfor folk som implementerer AD-DC-er bestemmer seg for at det er nødvendig med spesifikk undersøkelse rundt virtualisering når ingen andre arbeidsbelastninger gjør det, kan jeg ikke svare på. Men etter mange års forskning på dette fenomenet har jeg litt innsikt i kilden til de uansvarlige rådene rundt fysiske distribusjoner.

Den første feilen stammer fra en generell misforståelse av hva virtualisering egentlig er. Dette er dessverre utrolig vanlig, og folk tror ofte at virtualisering betyr konsolidering, noe det selvsagt ikke gjør. Så de tar denne feilen og anvender den falske logikken om at konsolidering betyr å konsolidere to AD-DC-er på samme fysiske vert. Det krever også det spranget å tro at det alltid vil være to eller flere AD-DC-er, men dette er også en vanlig oppfatning. Så tre store logikkfeil slår seg sammen til svært dårlige råd som, hvis du graver i anbefalingene, normalt kan spores tilbake. Dette ser ut til å være roten til flertallet av de dårlige rådene.

Andre årsaker er noen ganger misforståelse av faktisk god praksis, som setningen «Hvis du har to AD-DC-er, må hver av dem være på en separat fysisk vert.» Denne setningen forteller oss at to fysisk adskilte maskiner må brukes i dette scenariet, noe som absolutt er korrekt. Men det innebærer ikke at noen av dem ikke skal ha en hypervisor, bare at to forskjellige verter er nødvendig. Ordlyden som brukes for denne typen råd er ofte vanskelig å forstå hvis du ikke allerede forstår at under ingen omstendighet er en ikke-virtuell arbeidsbelastning akseptabel. Hvis du leser anbefalingen med den forståelsen, er betydningen klar og, forhåpentligvis, åpenbar. Dessverre blir denne anbefalingen ofte gjentatt uten kontekst, slik at den underliggende meningen lett kan gå tapt.

For lenge siden, for rundt et tiår siden, hadde noen virtualiseringsplattformer problemer med timing og systemklokker som kunne skape kaos med klyngede databasesystemer som Active Directory. Dette var et legitimt problem for lenge siden, men ble for lenge siden løst, slik det måtte for mange forskjellige arbeidsbelastninger. Det ble skapt en oppfatning om at AD kanskje trengte spesiell behandling, og det ser ut til å henge igjen selv om det har gått en generasjon eller to i IT-sammenheng siden dette var et problem, og det burde ha blitt glemt for lenge siden.

En annen myte som fører til dårlige råd, er rotfestet i det faktum at AD-DC-er, som andre klyngede databaser, når de brukes i klyngemodus ikke bør snapshottes, da dette lett kan skape databasekorrupsjon hvis bare én node i klyngen gjenopprettes på den måten. Dette er imidlertid et generelt aspekt ved lagring og databaser og er ikke relatert til virtualisering i det hele tatt. Den samme informasjonen er nødvendig for fysiske AD-DC-er like fullt. At snapshots er assosiert med virtualisering er en annen myte; virtualisering innebærer ikke et slikt lagringsartefakt.

Enda andre myter oppstår fra en tro på at virtualisering i stor grad må stole på Active Directory selv for å fungere, og at AD derfor må kjøre uten virtualisering. Dette er fullstendig en myte og meningsløst. Det finnes ingen slik sirkulær avhengighet.

Dessverre har noen tekniske områder gitt opphav til store myter, ofte mange av dem, som omgir dem og kan gjøre det vanskelig å finne ut sannheten. Virtualisering er akkurat komplekst nok til at mange forsøker å lære ikke bare hvordan de skal bruke det, men hva det er konseptuelt, på en mekanisk måte, noe som gir opphav til noen ganger ville misoppfatninger som er så langt ute at det kan være vanskelig å innse at det er det vi faktisk ser. Og i et tilfelle som dette legger misoppfatninger rundt virtualisering, historie, klyngede databaser, teknikker for høy tilgjengelighet, lagring og mer lag på lag av misoppfatninger, noe som gjør det vanskelig å forstå hvordan så mange ting kan samles rundt ett distribusjonsspørsmål.

Til syvende og sist er få arbeidsbelastninger like ideelt egnet for virtualisering som Active Directory-domenekontrollere. Det finnes ingen situasjon der ideen om å bruke en fysisk bare-metal operativsystemdistribusjon for en DC bør vurderes – virtualiser hver gang.