Windows Server 2016-部署RODC只读域控制器
只读域控制器Read-Only Domain Controller简称RODC。RODC是Windows Server 2008之后引入的一活动目录特性,与其他域控制器一样包含AD数据库,但RODC默认不保存域用户账户密码,并且RODC中包含的数据库也是只读的;只能单向从其他可读写域控制器请求信息,但无法将更改信息同步到其他可写域控。RODC一般多用于企业分支机构(办事处、分公司、驻外站点等),考虑到人员数量及带宽运营成本等,只读域控制器可简化区域无技术人员维护工作及人员投入成本,便于管理,提高本地办公效率,同时可改善当地网络环境的安全性。 架构图: RODC优点: 1.只读Active Directory活动目录数据库,可降低因物理安全因素带来的网络安全威胁; 2.降低了网络之间复制负载,更有效的访问网络资源; 3.凭据缓存。可加速分支用户登录验证速度,降低系统在遭到破坏时受影响用户范围等(凭据缓存是用户或者计算机凭据的储存器。凭据是由和安全主体关联的一小组大约接近10个密码的集合所组成。在默认情况下RODC不储存用户或者计算机凭据。例外的情况是RODC自身的计算机账户以及每台RODC所有的特殊的krbtgt账户。你在RODC上必须显示允许其它任何凭据缓存。 ); 4.管理员角色权限分隔。可降低因分支管理员权限过大对整个活动目录的威胁; 5.只读DNS。可选择性安装DNS服务,安装并同步DNS信息后可加快分支机构上网的响应时间,但不会做动态更新,所有更新都是可读写域控制器DNS单向同步到RODC DNS服务器。 RODC缺点: 1.默认RODC不存储用户密码,如可读写域控出现问题,用户验证会出现异常错误。 2.RODC对可读写域控依赖性太强,如同步的可读写域控出现问题将直接影响RODC使用。 部署RODC的先决条件: 1.至少环境中需要一台Windows server 2008域控制器; 2.林功能级别需要是Windows server 2003或以上级别; 3.PDC(PDC Emulator)角色必须允许在Windows server 2008上; 4.整个环境中需要存在正常可读写的域控制器; 1.设置主机名及静态IP地址,指定主域控地址为首选DNS服务器地址: 2.通过命令行加域并重启该服务器:
|