什么是实际有用的只读域控制器？

我会给你一个真实世界的场景：

• 我们在中国的分公司有一个

我们使用它，因为那里没有IT部门，我们在美国这里处理AD帐户的所有请求等。 在这里有一个RODC我们知道：

1. 没有人可以login它，并试图在公元“破解”。
2. 没有人可以窃取它，并得到任何有价值的东西，然后回来，在networking上“破解”。

通过使AD / DNS只读，我们不必担心尝试操作DC上的数据。

这是因为在这里find的function： http : //technet.microsoft.com/en-us/library/cc732801%28WS.10%29.aspx

它比我们其他任何东西都更加“安心”……再加上它允许安装一个非常小的服务器，因为它只是安装了RODCangular色的服务器核心。 我们把它放在一个带有2个Raid-1 18GB硬盘的较旧的1U服务器上。 我们实际上把它们中的2个放在…相同的确切configuration中，使用了我们在机架中使用的旧的非保修硬件。

简单，做它需要做的，我们不必担心。 如果其中一个盒子失败了，我们会简单地重新replace它。

在我的书（www.briandesmond.com/ad4/）中，我有这个function的一整章。 总而言之，这是一个安全function，对于分布式组织来说，这是一个巨大的交易。

这里有两个非常大的场景：

– >默认情况下，RODC不存储密码。 这意味着如果有人从服务器上物理获取磁盘，他们不会获得所有的用户（和计算机）密码。

如果有人窃取RWDC，正确的回应是重置域中的所有密码，因为您可以认为这些密码都是被盗用的。 这是一项重大的事业。

使用RODC，您可以说只caching用户和计算机的子集X的密码。 当RODC实际caching密码时，它将该信息存储在AD中。 如果RODC被盗，现在有一小部分需要重置的密码。

– > RODC单向复制。 如果有人偷了你的RWDC，做了一些改变，并插回去，这些改变将复制回环境。 例如，他们可能会将自己添加到域pipe理员组或重置所有pipe理员密码或其他东西。 使用RODC这根本是不可能的。

没有速度的提高，除非你把RODC放在一个没有DC的地方，然后在某些情况下可能会有速度提升。

TheCleaner的回答是非常不正确的。 RODC有很多令人信服的场景，我可以想象它们的大规模部署。 这是简单的安全的东西，而不是“肛门关于安全”的东西。

谢谢，

布莱恩·德斯蒙德

活动目录MVP

当您拥有很多物理安全性较差和/或networking连接速度缓慢或不可靠的分支机构时，您需要使用RODC。 例子：

• 提供中央办公室和店面诊所的医疗机构，经常移动并使用DSL / Cable进行连接
• 在电信基础设施不可靠的偏远地区，或者您被迫使用蜂窝或卫星networking的地方。

大多数组织都有远程设备的物理安全标准。 如果您不能满足这些要求，RODC允许您提供高速身份validation来访问本地应用程序和文件共享。 它们还允许您限制存储在服务器上的凭证数量。 受损的服务器只会危害远程位置的用户。 有75,000个用户的完整的DC可以在所有这些用户在本地妥协的情况下暴露出来。

如果你在一家小公司工作，那没什么大不了的。 我很喜欢用BitLocker推出，因为RODC大大降低了安全风险。

我们将在此TechNet文章的基础上在DMZ中使用RODC。 在DMZ中使用RODC为Web服务设置新的目录林。

主要是为了安全，也是为了速度。

在这里看到简短的文字

RODC包含AD的只读副本，并在没有IT人员在场的分支机构中使用，因此无法保证服务器机房的安全性或完整性。 如果RODC受到威胁，您可以安全地知道，无论谁妥协，只有在发现时才能访问您的AD。 不会对其进行任何更改将被复制回您的主要区议会。 这意味着，无论谁妥协，都不能做恶意的事情，比如将自己提升到域名pipe理员，locking自己的pipe理员，并在整个networking中使用恶意的方式。

RODC对于大型企业组织非常有用，竞争的企业目录服务（例如Novell eDirectory）多年以来都拥有只读副本。

RODC的另一个优势是，它们将允许您在进行一些灾难恢复时拥有工作域控制器，包括取下所有正常的域控制器来重build活动目录。 在这种情况下，您不必closuresRODC。