什么是实际有用的只读域控制器?

Windows Server 2008引入了只读域控制器,它接收域数据库的完整副本,但不能修改它,就像一个很好的旧的Windows NT BDC。

我知道所有关于如何运行这些半决赛的技术细节(我刚刚通过了70-646和70-647),但是我仍然没有清楚地回答所有最重要的问题: 你为什么要使用它们


TheCleaner的这个评论真的可以为我总结:

@Massimo – 是的,你是对的。 U正在寻找一个令人信服的RODC理由,而且没有一个。 它还有一些额外的安全function,可以帮助减轻分支机构的安全性,如果您没有DC,那么只需要在那里部署安全function,并对其安全性进行分析。

我也是这么想的,安全性稍微提高了一点,当然可以,但绝对不值得这么麻烦。

我会给你一个真实世界的场景:

  • 我们在中国的分公司有一个

我们使用它,因为那里没有IT部门,我们在美国这里处理AD帐户的所有请求等。 在这里有一个RODC我们知道:

  1. 没有人可以login它,并试图在公元“破解”。
  2. 没有人可以窃取它,并得到任何有价值的东西,然后回来,在networking上“破解”。

通过使AD / DNS只读,我们不必担心尝试操作DC上的数据。

这是因为在这里find的function: http : //technet.microsoft.com/en-us/library/cc732801%28WS.10%29.aspx

它比我们其他任何东西都更加“安心”……再加上它允许安装一个非常小的服务器,因为它只是安装了RODCangular色的服务器核心。 我们把它放在一个带有2个Raid-1 18GB硬盘的较旧的1U服务器上。 我们实际上把它们中的2个放在…相同的确切configuration中,使用了我们在机架中使用的旧的非保修硬件。

简单,做它需要做的,我们不必担心。 如果其中一个盒子失败了,我们会简单地重新replace它。

在我的书(www.briandesmond.com/ad4/)中,我有这个function的一整章。 总而言之,这是一个安全function,对于分布式组织来说,这是一个巨大的交易。

这里有两个非常大的场景:

– >默认情况下,RODC不存储密码。 这意味着如果有人从服务器上物理获取磁盘,他们不会获得所有的用户(和计算机)密码。

如果有人窃取RWDC,正确的回应是重置域中的所有密码,因为您可以认为这些密码都是被盗用的。 这是一项重大的事业。

使用RODC,您可以说只caching用户和计算机的子集X的密码。 当RODC实际caching密码时,它将该信息存储在AD中。 如果RODC被盗,现在有一小部分需要重置的密码。

– > RODC单向复制。 如果有人偷了你的RWDC,做了一些改变,并插回去,这些改变将复制回环境。 例如,他们可能会将自己添加到域pipe理员组或重置所有pipe理员密码或其他东西。 使用RODC这根本是不可能的。

没有速度的提高,除非你把RODC放在一个没有DC的地方,然后在某些情况下可能会有速度提升。

TheCleaner的回答是非常不正确的。 RODC有很多令人信服的场景,我可以想象它们的大规模部署。 这是简单的安全的东西,而不是“肛门关于安全”的东西。

谢谢,

布莱恩·德斯蒙德

活动目录MVP

当您拥有很多物理安全性较差和/或networking连接速度缓慢或不可靠的分支机构时,您需要使用RODC。 例子:

  • 提供中央办公室和店面诊所的医疗机构,经常移动并使用DSL / Cable进行连接
  • 在电信基础设施不可靠的偏远地区,或者您被迫使用蜂窝或卫星networking的地方。

大多数组织都有远程设备的物理安全标准。 如果您不能满足这些要求,RODC允许您提供高速身份validation来访问本地应用程序和文件共享。 它们还允许您限制存储在服务器上的凭证数量。 受损的服务器只会危害远程位置的用户。 有75,000个用户的完整的DC可以在所有这些用户在本地妥协的情况下暴露出来。

如果你在一家小公司工作,那没什么大不了的。 我很喜欢用BitLocker推出,因为RODC大大降低了安全风险。

我们将在此TechNet文章的基础上在DMZ中使用RODC。 在DMZ中使用RODC为Web服务设置新的目录林。

主要是为了安全,也是为了速度。

在这里看到简短的文字

RODC包含AD的只读副本,并在没有IT人员在场的分支机构中使用,因此无法保证服务器机房的安全性或完整性。 如果RODC受到威胁,您可以安全地知道,无论谁妥协,只有在发现时才能访问您的AD。 不会对其进行任何更改将被复制回您的主要区议会。 这意味着,无论谁妥协,都不能做恶意的事情,比如将自己提升到域名pipe理员,locking自己的pipe理员,并在整个networking中使用恶意的方式。

RODC对于大型企业组织非常有用,竞争的企业目录服务(例如Novell eDirectory)多年以来都拥有只读副本。

RODC的另一个优势是,它们将允许您在进行一些灾难恢复时拥有工作域控制器,包括取下所有正常的域控制器来重build活动目录。 在这种情况下,您不必closuresRODC。