Active Directory 不会消失。您的组策略设置可能像 COBOL 一样脆弱

AD并未消失

最近在r/activedirectory的Reddit帖子中提出了一个简单的问题：Active Directory会消失吗？该帖子在几小时内收到了数十条评论，其中一句话比线程中的任何内容都更好地总结了争论：“AD将像COBOL消失一样消失……（检查笔记）。”

它获得超过30个赞是有原因的。那个帖子里的每个人都已经知道了笑点。

COBOL 还在使用吗？是的，这正是重点

几十年来，人们一直预测COBOL的消亡，但它仍在全球的银行、保险公司和政府机构的核心系统中运行。它不是因为优秀而存活。它存活下来是因为拆除它比维护它更具风险和成本，而且它周围有太多依赖关系，无法干净地拆解。

Active Directory 遵循着同样的模式：依赖太多，建立了职业生涯的管理员太多，仍然不支持其他任何东西的应用程序太多。

这并不意味着AD是健康的。这意味着它根深蒂固，就像COBOL根深蒂固一样。根深蒂固的系统会积累那种没人预算的技术债务，直到它崩溃。

关于Active Directory将消失的争论是一种干扰

AD不会在对您的下一次审计、下一次事件响应或下一次合规审查重要的时间范围内消失。

更好的问题是，在大家都等待AD消亡的同时，AD之上叠加了什么。对于大多数组织来说，那就是组策略：数百个GPOs 在十多年间被添加，其中一半没有文档，有些相互矛盾，几乎没有一个是为现代混合或远程端点设计的。

这就是令人头疼的脆弱性。不是AD本身，而是堆积在其上的策略泛滥。

组策略与传统代码存在相同的问题

原生组策略并非为大多数IT团队当前管理的环境设计：远程员工、非域设备、与Windows混合的Mac端点，以及与本地服务器并存的云管理基础设施。因此，团队通过脚本、变通方法和无人完整记录的一次性GPO来弥补这些空白。

这正是COBOL系统变得脆弱的原因。不是因为原始代码不好，而是因为三十年的补丁、变通方法和未记录的例外堆积起来，直到没人再信任做任何更改。

这种扩张给您带来的成本

直到需要快速行动时，没人注意到GPO的泛滥。审计会询问哪条策略控制哪个设置，但没人能给出明确答案。新的混合或远程工作计划需要在从未加入域的设备上执行策略，而现有的GPO根本无法覆盖它们。有人修改了旧的GPO以修复一处，却破坏了另外三处，因为这些依赖关系从未被记录。

这与任何老化代码库的失败模式相同。系统仍在运行，直到有人需要在压力下更改它，然后每个未记录的捷径都会变成生产事故。

该怎么办

开始像对待遗留系统那样对待您的组策略环境，并在审计或迁移迫使问题之前开始清理它。

Netwrix PolicyPak 是为此而打造。它整合了庞大的GPO以减少噪音并提升性能，并扩展了策略控制，超出了本地Group Policy和MDM单独能做到的范围。对于向混合或云管理环境转型的团队，它还将本地GPO转换为MDM和云管理设置，并支持基于SaaS的策略管理，适用于甚至未加入域的设备。

无论您的组织是再维持AD两年还是二十年，位于其上的策略层都需要在本地、混合和远程端点上今天就能工作，而不是在某个可能永远不会完全发生的未来迁移中。

AD可能会比那个Reddit帖子中的大多数预测活得更久，就像COBOL比所有关于其死亡的文章都活得更久一样。最终领先的组织不会是那些正确猜测时间表的组织，而是那些在其他人争论时现代化了其策略管理的组织。