Windows Server上pipe理员帐户的最佳实践

我会把它算作一个错误，但是可能会有一些争议 – 发生什么事情是，NLBconfiguration过程需要在某个阶段提升，但是不能以触发提升提示的方式这样做。 如果您使用内置的pipe理员帐户启用UAC，或者如果系统是域的一部分，则会触发域pipe理员帐户自动提升。 仅仅是本地pipe理员组的成员的账户不会这样做，这会导致许多类似的问题（例如，除非是本地pipe理员，否则无法使用账户连接到W2K8系统上的远程pipe理员共享或域pipe理员的成员）。

这种行为可以通过GPO进行更改 – 这篇TechNet文章中有一些细节（这是关于Vista，但它也适用于域中的W2K8服务器）。

这就是我所做的：

1. 我为每个pipe理员（需要一个）创build域pipe理员帐户。
   1. 这将是他们的用户名附加user.name.adm或类似的东西。
   2. 我将他们的电子邮件绑定到一个普通的用户帐户，* .adm帐户仅用于域pipe理员function，而不是浏览网页
2. 对于需要域pipe理员访问的服务（如SCOM），我创build了独立帐户并在keepass中生成了非常复杂的密码。 设置它，忘记它。

这是否意味着pipe理员帐户是configuration服务器function所必需的，如果是的话，在这种情况下pipe理员帐户的最佳做法是什么？

大多数服务器function都需要configuration为pipe理员，join域后，Active Directory更改时需要域pipe理员。 MSNLB对AD和其他服务进行了一些更改，但我不记得在哪里，最有可能的DNS，但在AD中可能有其他选项设置在单个容器上。

另外，如果您刚刚设置了MSNLB，请注意networking上的ARP请求。 MSNLB不喜欢和大型二层networking一起玩，应该分成一个独立的networking。 如果不是，它可能会导致一些恼人的networking问题。