从DMZ连接到Active Directory最安全的方法是什么？

Question

我有一个Web DMZ服务器，它托管一个“Extranet”ASP.NET应用程序。我希望用户使用他们在Windows上工作时使用的相同用户名和密码来对此应用程序进行身份验证。 （我们使用的是Active Directory）

我想知道最好的方法 - 最安全的方式 - 从DMZ Web服务器连接到Active Directory。

现在我看到了两种可能性：
- RODC
- LDAP over SSL（LDAPS）

您还有其他选择吗？我还应该考虑哪些其他选择？任何限制，或任何这些解决方案的潜在问题？

Answer 1

它存在一个微软文件，谈论着：

Active Directory Domain Services in the Perimeter Network (Windows Server 2008)

您还可以从Microsoft考虑中获得灵感，将Exchange前端计算机安装到DMZ中

Front-End and Back-End Server Topology Guide for Exchange Server 2003 and Exchange 2000 Server