我正在实施 MDM 解决方案，以准备推出大量 Android 设备。我们使用了许多从 Google Play 商店安装的应用程序，而不是侧面加载的应用程序。据我了解，必须先为手机配置 Google 帐户，然后才能从商店安装应用程序。在我拥有的测试设备上，我只是注册了几个 Google 帐户并手动将它们添加到手机中。但是，当我要进行大规模推出时，这并不理想。
所以，我的问题是：在企业场景中，通常如何使用 MDM 管理 Google 帐户？我一直在研究诸如 Google Directory Sync 和 Android for Work 之类的东西，但我不确定我是否在寻找正确的树。
如果我遇到了X/Y 问题，我深表歉意——我什至认为谷歌帐户是必需的，我什至可能是错误的。
如果重要的话：
我们部署了多台 Surface Pro 3 设备，并在 TPM + PIN 模式下启用了 BitLocker。这些设备具有 TPM 2.0 芯片并运行 Windows 8.1 Pro。
我们遇到的问题是，用户在输入正确的 PIN 码时偶尔会收到“错误的 PIN 码尝试次数过多”错误。然后，他们必须输入恢复密钥才能继续启动过程。然后，他们每次启动设备时都需要输入恢复密钥，直到我们使用 tpm.msc 手动重置 TPM 锁定，这显然不方便。
出于某种原因，TPM 正在进入锁定状态，但这似乎不是因为重复错误的 PIN 尝试。如果您让设备运行，锁定最终不会超时这一事实也表明它是出于其他原因，而不是达到最大错误身份验证尝试次数。我了解 TPM 2.0 规范声明应该是这种情况，与将确切行为留给供应商的 TPM 1.2 规范不同。
运行Get-Tpm表明 TPM 肯定处于锁定状态，但不提供有关原因的任何信息。
有谁知道我是否可以做任何事情来尝试确定锁定的根本原因？
我最近提出的一个关于使用企业 10k 与 7.2k 中线 SAS 磁盘的问题导致了一些建议，即使用镜像的 SSD 对作为引导卷是有意义的，因为：
这使我更多地研究了可用的选项。我使用惠普套件，所以我的问题与此有关，但毫无疑问，其中一些是全面适用的。
首先，有几个人提到惠普制造了专门为使用启动卷而设计的 SSD。查看HPE SSD 数据表，它提到读取密集型 SFF/LFF 模型非常适合。这就是人们所指的吗？我确实看到了一些专门命名为“Enterprise Boot”的模型，但我仍在尝试确定它们是否是较旧的产品线。它还提到了 M.2 模型，这是我需要进一步阅读的内容。
其次，查看可用于 HP DL380 Gen9 SFF 机箱的 SSD 选项，我注意到适合启动卷的各种容量（例如 80GB 或 120GB）仅适用于 SATA 接口。
例如，带有 SATA 接口的 120GB Read Intensive-3 SFF 驱动器的标价为 195.00 英镑。对于 SAS，最便宜的选择是480GB Read Intensive-3 SFF 驱动器，标价为 839.00 英镑。SAS 的驱动器容量低至 200GB，但这些是写入密集型或混合使用选项，比读取密集型 480GB 驱动器更昂贵。
作为比较，等效的 HDD（300GB 10k Enterprise SAS 驱动器的标价为 179.00 英镑）非常接近上述 120GB SATA SSD。
缺乏较低容量/价格的 SAS SSD 是常见的，还是我使用 DL380 的示例不代表标准？如果是，这是否意味着人们通常使用 SATA SSD 作为启动卷？这是可取的吗？我一直遵循坚持使用 SAS 的口头禅，因为 SAS 命令集据说更适合服务器环境、RAID 等（我不是专家，所以我承认我在没有知识的情况下“安全行事”具体情况）。使用 SSD 会改变这种情况吗？我的想法一开始有缺陷吗？
HP SSD 数据表确实说明了一些半有用的信息：
SAS SSD 以全双工（双向）传输数据，允许更大的 I/O 带宽以缓解瓶颈.... SATA SSD 在优先考虑较低价格的半双工（单向）直接连接方案中非常有用
...这有助于解释为什么拥有 SAS 接口会提高性能。
此外，SAS 使用 SCSI 命令进行错误恢复和错误报告，其功能比串行 ATA (SATA) 使用的 ATA 命令集更多。
如果没有具体细节，这很难确定。这是我以前听过的东西，也是我想花时间更好地理解的许多事情之一。
我应该说我使用标价只是为了允许产品之间的相对比较——我理解实际的市场价格会有所不同。
在指定服务器时，例如（我假设）许多不是存储专家的工程师，我通常会通过标准化至少 10k SAS 驱动器（因此是“企业级，具有 24x7 占空比等）用于“系统”数据（通常是操作系统，有时是应用程序），并保留使用 7.2k 中/近线驱动器来存储性能不重要的非系统数据因素。这都是假设 2.5" (SFF) 磁盘，因为 3.5" (LFF) 磁盘仅与高容量、低 IOP 要求真正相关。
在没有大量非系统数据的情况下，我通常会将其放在与系统数据相同的磁盘/阵列上，这意味着服务器只有 10k SAS 驱动器（通常是“One Big RAID10”类型这些天的设置）。只有当非系统数据的大小很大时，我通常才会考虑将其放在一个单独的 7.2k 中/近线磁盘阵列上，以降低每 GB 的成本。
这让我想知道：在某些情况下，RAID10 阵列中的那些 10k 磁盘是否可以替换为 7.2k 磁盘而不会产生任何重大负面影响？换句话说，我是否有时会通过坚持至少 10k“企业”级磁盘来过度规范（并让硬件供应商满意），或者是否有充分的理由始终坚持至少？
例如，对于一家典型的小公司（比如 50 个用户），将一台服务器用作具有几个 VM 的虚拟机管理程序。该公司具有平均 I/O 模式，没有特殊要求。典型的周一至周五朝九晚五的办公室，每晚运行几个小时的备份。VM 可能是 DC 和文件/打印/应用服务器。服务器有一个带有 6 个磁盘的 RAID10 阵列来存储所有数据（系统和非系统数据）。在我的非专家眼中，看起来中/近线磁盘可能会很好。以惠普磁盘为例：
所以，我的问题是：坚持至少 10k SAS 驱动器是否明智，或者在许多情况下 7.2k 中线/近线磁盘实际上已经绰绰有余？如果是这样，我如何衡量这条线在哪里，并通过谨慎行事来避免成为无知的奴隶？
我的经验主要是使用惠普服务器，所以上面的内容可能有点惠普的倾向，但我认为这些原则是相当独立于供应商的。
过去，我组装的服务器都有 8 个或更少的磁盘，所以我不必过多考虑存储控制器 - 像 P440ar（我的经验是 HP）这样的标准控制器最多支持 8 个磁盘就足够了。
我目前指定的服务器可能有 10 到 12 个 SFF 磁盘，这意味着通常的标准 P440ar 是不够的。要支持 >8 个磁盘，我似乎有几个选择：
因此，我一直在尝试了解每种方法的优缺点。
如果您想创建一个跨越比控制器本身支持的更多磁盘的 RAID 阵列，您别无选择，只能使用 SAS 扩展器。假设情况并非如此，以下之间的优缺点/区别是什么：
（其中“smaller”是不支持所需驱动器数量且没有扩展器的控制器，而“larger”是支持的控制器）
...以及何时/为什么选择一个选项而不是另一个选项？
我们有许多笔记本电脑用户，他们认为可靠、及时地部署软件更新是一个问题。
情况如下：
由于在启动期间缺乏与公司网络的连接，组策略软件安装似乎不是部署应用程序更新（或新应用程序）的可行选择，但我很乐意收到这样的建议否则。
DirectAccess 可能会提供更多选择，但在可预见的未来不是一个选择。
所以，我的问题是：人们会推荐什么解决方案来可靠和及时地为在启动期间很少连接到公司 LAN 的移动用户部署应用程序/应用程序更新？如果第三方工具在小型企业的范围内，我对它们持开放态度。
我注意到这个答案表明 Intune 可能值得调查（SCCM 可能太多了）。任何其他建议都非常感谢。
我目前正在探索在 Azure 中运行客户端 VPN 服务器的选项。我已经检查了点到站点 VPN 功能，它似乎更像是管理员拨入的一种方法，而不是成熟的客户端 VPN 解决方案。
其余选项之一是在 Azure VM 中运行客户端 VPN 服务器。许多客户端 VPN 选项以一种或另一种方式使用 IPsec，它使用 TCP/UDP 以外的 IP 协议进行操作 (ESP/AH)。据我所知，Azure 不允许 TCP/UDP 以外的流量流向您的虚拟机。基于端点的 ACL 只允许您选择 TCP 或 UDP。我一直在调查网络安全组 (NSG)，希望他们能提供解决方案，但他们也只提供“TCP”、“UDP”或“*”作为 ACL 中的协议选项。这让我相信在 Azure 中运行 IPsec 服务器是不可能的。这是正确的，还是有我没有遇到的可用选项？显然有些选项只需要 TCP/UDP（想到 Microsoft SSTP），
作为一个附带问题，在为 Azure 中托管的资源提供客户端 VPN 时，人们还选择了哪些其他解决方案？
我目前正在计划对 RDS 基础架构进行任何必要的更改，以适应由于公司扩张而即将增加的用户数量。
目前，系统只有一个 RDS Session Host 服务器。即将到来的扩展让我想知道什么因素会影响您何时决定切换到具有多个会话主机的模型。
我正在努力解决的一个特殊问题：如果您能够轻松扩展现有主机而不是部署另一个主机，那么这样做通常是否有意义并避免在绝对必要之前切换到多主机模型？考虑到拥有多个会话主持人带来的额外维护和复杂性，这似乎是一个相当相关的问题，我不确定我是否有一个可靠的答案。
我将阐述我目前对竞争因素的看法。我很欣赏其他人对这些的想法，以及是否还有其他重要的因素。
拥有多个会话主机会引入一定程度的冗余，特别是如果您在运行它们时有足够的空间来弥补其中一个主机的停机时间。但是，您必须确保所有会话主机都具有相同的配置。这需要额外的工作，并引入了主机之间随着时间的推移而出现差异的可能性。虽然我自己还没有做过，但我可以理解这些问题可以通过使用自动化、集中管理和配置控制之类的方法来解决，但是所需的技能水平更高，并且您必须将最初的努力投入到实施工具和流程。您还会增加主机之间负载平衡的复杂性（使用连接代理）。
扩大单个主机的规模可以降低复杂性，只要有可能/明智，我就非常喜欢这一点。您只需维护一个主机。从表面上看，这让我认为在冗余成为一个严重问题之前，最好尽可能扩大现有主机的规模。我有一种感觉，但它并不那么简单。其他人可以提供他们的想法/经验吗？
为了对此施加一些限制，我的特殊情况涉及使用 Windows Server 2012 R2，会话主机使用 Hyper-V 进行虚拟化。在这种特殊情况下，许可不是主要问题。
大多数在 RRAS 上部署 SSTP 的指南都建议使用 AD CS 设置私有 CA，并附带所有必要的步骤来颁发服务器身份验证证书并使其受到客户端的信任。
根据我的阅读，也完全可以使用公开签名的证书来设置 SSTP。在我看来，如果您还没有 CA 并且没有其他需要部署您自己的 CA 的要求，那么为如此基本的东西努力部署和维护一个 CA 似乎有点矫枉过正。如今，证书可以很便宜地获得，并且客户端将自动信任证书，无论他们是否加入域。想到的其他优点我不会在这里列出。
是否有一个我在这里遗漏的因素来解释为什么大多数指南选择走上部署 AD CS 的路线，即使是最基本的设置，还是我的想法很合理？
小型 (SFF) / 2.5" 磁盘现在似乎比 LFF 磁盘更受欢迎，因为它们在许多情况下（功耗更低、密度更高等）比 LFF 磁盘更可取。但是，LFF 磁盘似乎仍然具有在主要供应商的产品中（以最近发布的 Gen9 系列 HP 服务器为例）。
看看磁盘的定价，在大多数较低（低于 500GB）容量中，这些天似乎几乎没有价格差异。这就引出了一个问题，为什么它们仍然足够受欢迎，让供应商觉得值得投资以支持他们的最新产品？纯粹是因为 LFF 外形尺寸磁盘比 SFF 磁盘具有更高的容量，还是还有其他原因使其仍然受欢迎？
在此基础上，我试图了解在 SSF 上指定具有 LFF 笼子/磁盘的现代服务器有什么客观理由。什么场景/要求可能意味着 LFF 将是首选？如果您需要以合理的成本购买大型、数 TB 的磁盘，您是否真的会这样做，还是有其他原因？
早在 Windows Server 2012 之前的日子里，建议似乎是让至少一个物理域控制器与您的虚拟化 DC 并排放置。
这样做的一个理由是，如果您的 Hyper-V 主机是集群的，那么它们需要在启动期间可以联系到 DC。这对我来说完全有意义。
但是，我经常听到人们说，即使您没有集群设置，拥有一个物理 DC 仍然很重要（例如，在一个运行多个 VM 的单个 Hyper-V 服务器的简单设置中，一个其中是 DC）。这样做的理由似乎（我永远无法确定）在 Hyper-V 主机首次启动时，网络上不存在 DC 的意义上仍然存在问题。缓存的凭据意味着您仍然可以登录，但是在启动过程中发生的所有这些位意味着拥有 DC 是有益的呢？这真的是一个问题吗？实际上是否有任何可能只运行的操作在启动时会导致问题吗？例如，任何组策略？我基本上要问的是，物理 DC 论点是否仅在涉及集群时才真正成立，或者（2012 年之前）是否存在没有集群的重要技术案例？Altaro 的这篇文章 （参见“鸡和蛋”神话部分）表明没有必要，但我仍然不确定。
现在到我问题的第二个（也是主要）部分：
Windows Server 2012 引入了几个旨在解决虚拟化域控制器问题的功能，包括：
所以我的第二个问题与第一个问题相似，但这次是针对 2012 年以上的。假设 vDC 和主机都是 2012+ 并且您将集群排除在等式之外，是否还有其他类似上面提到的问题意味着我仍然应该考虑物理 DC？我是否仍应考虑在我的单个非集群 2012/2012R2 Hyper-V 主机旁边安装一个物理 DC，该主机上有一个虚拟化 DC？我听说有人建议将 AD 放在 Hyper-V 主机上，但出于各种原因我不喜欢这个想法（一开始就禁用了 WB 缓存）。
作为旁注，我的问题隐含地假设让您的 Hyper-V 主机加入域以提高可管理性是有意义的。这种说法是否经得起推敲？
更新：
在阅读了一些答案之后，我突然想到，我可以用稍微不同的方式来表达我所要问的问题的核心：
即使在 2012 年及以后进行了改进，事实仍然是，在另一台主机上没有任何物理 DC 或虚拟 DC，主机仍然在没有可用 DC 时启动。这真的是一个问题吗？从某种意义上说，我认为如果您完全不考虑虚拟化，这是相同（或非常相似）的问题。如果您定期在任何 DC 之前启动成员服务器，这是一个问题吗？
我目前正计划将 Active Directory 证书服务 CA 从即将退役的 Server 2003 R2 Standard 机器迁移到现有的 Windows 2008 R1 Enterprise 机器。
这不是我以前做过的事情，所以在实验室测试过程之前，我一直在查看相关文档以了解需要什么。最可靠和最完整的信息来源似乎是 Microsoft 的Active Directory 证书服务迁移指南。但是，它仅涵盖涉及运行 Windows Server 2008 R2 版本的目标服务器的场景，而不是“R1”。
任何人都可以就指南是否仍可按原样遵循或是否需要稍微修改方法提供任何建议？有谁知道仅将 R2 版本作为目标服务器的原因？仅仅是因为微软希望用户运行 R2 吗？从我目前阅读的内容来看，该指南对遗漏保持沉默。
过去，在创建 AD 域时，我通常使用公司公开注册域名的子域，例如“corp.mycompany.com”或“int.mycompany.com”。在运行 DCPromo 时，我一直接受默认的 NetBIOS 名称，因为担心创建与子域不同的 NetBIOS 名称可能会导致并发症。
我最近一直在研究提供备用 NetBIOS 名称的后果。这背后的主要原因是：
在查看可能的缺点时，我唯一能想到的是配置 Exchange 时命名空间脱节的问题。
任何比我更有经验的人都可以详细说明我的发现吗？
非常感谢
这个问题是Dedicated NIC or dedicated port for iSCSI?的后续问题？
排除在上述问题的已接受答案中提出的硬件 iSCSI 启动器点，似乎在 iSCSI 的多端口 NIC 上使用单独的端口几乎可以满足为 iSCSI 使用“单独的 NIC”的建议iSCSI 流量。
我正在计划通过 MPIO 使用冗余路径/交换机将两个群集节点连接到存储阵列的小型 iSCSI 安装。因此，每个节点都有四个到 iSCSI 交换机的物理网络连接。
每台机器都有两个四端口 NIC。非 iSCSI 流量需要四个端口，上述 iSCSI 流量需要四个端口，这意味着所有八个端口都将被使用。
我的问题是——如果您有多个物理 NIC，那么您应该将 iSCSI 连接拆分到两个 NIC 上以应对 NIC 故障（在我的情况下每个 2 个端口），还是应该坚持保留所有单个 NIC 上的 iSCSI 流量？我的直觉是分离流量，但我想听听那些比我拥有更多 iSCSI 实际经验的人的想法。这样做会不会遇到某种意想不到的并发症？
虽然我已经在我的特定示例的上下文中提出了这个问题，但我试图提出一个有望适用于其他类似配置的一般性问题。
非常感谢任何帮助。
我们运行一个小型企业网络，其中包含一些 Windows 服务器和 Backup Exec + 一个 LTO4 磁带库来备份它们。我们使用每年、每月、每周的轮换表，磁带会在异地进行。我还应该提到我们使用 LTO 条形码。
我的问题真的是这个 - 你围绕备份轮换使用什么文书工作/电子表格/数据库/等来实现如下目标：
a) 确保有一份书面的问责记录表明工程师已经检查了备份日志以确保工作成功完成，磁带处于良好状态等（除此之外，这似乎是鼓励该过程的好方法如果人们必须签署他们的名字以表明他们已经做到了，请遵循）。
b) 能够跟踪所有磁带当前的存储位置（Backup Exec 对此有所帮助，但单独的记录似乎是明智的）。如果该记录以某种方式存储在异地，以便在发生办公室火灾等灾难时可以访问，那也很好。
c) 在灾难恢复的情况下，不仅仅是异地存储的磁带，还有一份书面记录，准确解释磁带对应的工作，以及一份显示工作成功完成的记录等。
d) 其他重要的事情
简而言之，审计跟踪。设计的审计跟踪是一种能够抵御办公室火灾等灾难情况的方式。
人们倾向于推出自己的解决方案，还是有现成的解决方案？您倾向于将所有内容都保留在纸上，还是有一些电子方法？您是否保留了场外磁带的任何文书工作？
我应该说我们已经有了一个基本的系统，但我很想知道什么构成了一个好的审计跟踪系统，希望我能改进我们的系统。
非常感谢！