Windows Server 2008引入了只读域控制器,它接收域数据库的完整副本,但不能修改它,就像一个很好的旧的Windows NT BDC。
我知道所有关于如何运行这些半决赛的技术细节(我刚刚通过了70-646和70-647),但是我仍然没有清楚地回答所有最重要的问题: 你为什么要使用它们 ?
TheCleaner的这个评论真的可以为我总结:
@Massimo – 是的,你是对的。 U正在寻找一个令人信服的RODC理由,而且没有一个。 它还有一些额外的安全function,可以帮助减轻分支机构的安全性,如果您没有DC,那么只需要在那里部署安全function,并对其安全性进行分析。
我也是这么想的,安全性稍微提高了一点,当然可以,但绝对不值得这么麻烦。
我会给你一个真实世界的场景:
我们使用它,因为那里没有IT部门,我们在美国这里处理AD帐户的所有请求等。 在这里有一个RODC我们知道:
通过使AD / DNS只读,我们不必担心尝试操作DC上的数据。
这是因为在这里find的function: http : //technet.microsoft.com/en-us/library/cc732801%28WS.10%29.aspx
它比我们其他任何东西都更加“安心”……再加上它允许安装一个非常小的服务器,因为它只是安装了RODCangular色的服务器核心。 我们把它放在一个带有2个Raid-1 18GB硬盘的较旧的1U服务器上。 我们实际上把它们中的2个放在…相同的确切configuration中,使用了我们在机架中使用的旧的非保修硬件。
简单,做它需要做的,我们不必担心。 如果其中一个盒子失败了,我们会简单地重新replace它。
在我的书(www.briandesmond.com/ad4/)中,我有这个function的一整章。 总而言之,这是一个安全function,对于分布式组织来说,这是一个巨大的交易。
这里有两个非常大的场景:
– >默认情况下,RODC不存储密码。 这意味着如果有人从服务器上物理获取磁盘,他们不会获得所有的用户(和计算机)密码。
如果有人窃取RWDC,正确的回应是重置域中的所有密码,因为您可以认为这些密码都是被盗用的。 这是一项重大的事业。
使用RODC,您可以说只caching用户和计算机的子集X的密码。 当RODC实际caching密码时,它将该信息存储在AD中。 如果RODC被盗,现在有一小部分需要重置的密码。
– > RODC单向复制。 如果有人偷了你的RWDC,做了一些改变,并插回去,这些改变将复制回环境。 例如,他们可能会将自己添加到域pipe理员组或重置所有pipe理员密码或其他东西。 使用RODC这根本是不可能的。
没有速度的提高,除非你把RODC放在一个没有DC的地方,然后在某些情况下可能会有速度提升。
TheCleaner的回答是非常不正确的。 RODC有很多令人信服的场景,我可以想象它们的大规模部署。 这是简单的安全的东西,而不是“肛门关于安全”的东西。
谢谢,
布莱恩·德斯蒙德
活动目录MVP
当您拥有很多物理安全性较差和/或networking连接速度缓慢或不可靠的分支机构时,您需要使用RODC。 例子:
大多数组织都有远程设备的物理安全标准。 如果您不能满足这些要求,RODC允许您提供高速身份validation来访问本地应用程序和文件共享。 它们还允许您限制存储在服务器上的凭证数量。 受损的服务器只会危害远程位置的用户。 有75,000个用户的完整的DC可以在所有这些用户在本地妥协的情况下暴露出来。
如果你在一家小公司工作,那没什么大不了的。 我很喜欢用BitLocker推出,因为RODC大大降低了安全风险。
我们将在此TechNet文章的基础上在DMZ中使用RODC。 在DMZ中使用RODC为Web服务设置新的目录林。
主要是为了安全,也是为了速度。
在这里看到简短的文字
RODC包含AD的只读副本,并在没有IT人员在场的分支机构中使用,因此无法保证服务器机房的安全性或完整性。 如果RODC受到威胁,您可以安全地知道,无论谁妥协,只有在发现时才能访问您的AD。 不会对其进行任何更改将被复制回您的主要区议会。 这意味着,无论谁妥协,都不能做恶意的事情,比如将自己提升到域名pipe理员,locking自己的pipe理员,并在整个networking中使用恶意的方式。
RODC对于大型企业组织非常有用,竞争的企业目录服务(例如Novell eDirectory)多年以来都拥有只读副本。
RODC的另一个优势是,它们将允许您在进行一些灾难恢复时拥有工作域控制器,包括取下所有正常的域控制器来重build活动目录。 在这种情况下,您不必closuresRODC。