RODC学习笔记
最新推荐文章于 2023-11-20 15:52:29 发布
转载
最新推荐文章于 2023-11-20 15:52:29 发布
·
319 阅读
·
0
·
0
·
CC 4.0 BY-SA版权
原文链接：http://blog.51cto.com/cenchao/174377
本文介绍了RODC(只读域控制器)的基本概念、安装需求、工作原理及管理方法。涵盖了RODC的安装过程、密码复制策略的应用以及如何在物理安全无法保障的情况下正确配置RODC。
RODC即只读域控制，用于不能保证服务器物理安全的分支机构。RODC和RWDC是单向复制，无需担心被破解等问题。
RODC需求的服务器操作系统环境：域和林功能都工作在Windows Server 2003级别以上，并且该域的PDC仿真器运行在Windows Server 2008或更高的版本上。
RODC需求的客户端操作系统环境：Windows 2000、Windows XP、Windows Server 2003、Windows Vista。
在RODC上，我们除了安装RODC外，还可以安装只读DNS（包括ForestDNSZones和DomainDNSZones）、全局编录。
只读DNS不包含完整的区域或域数据变动复制列表。
RODC工作基本原理：用户凭据提交到RODC上，RODC通过和RWDC通信来获取用户或计算机凭据等信息。
注意：RODC不能充当桥头服务器或承载操作主机的角色。在用一个域的同一站点内，无法放置超过一台的RODC；同一个或不同域都有RWDC的情况下，每个站点中都可以放置一台RODC，同时每个域都可以仿制RODC。
为确保RODC可以复制目录分区，该域控制器必须是全局编录服务器。
安装RODC时，使用高级模式安装，会有一些额外的选项。比如从安装介质安装RODC或密码复制策略等等。
-
随着企业域数据库的增长，如果RODC安装时从网络复制，那么需要占用大量的网络资源。此时，可以从RWDC上导出安装介质然后在RODC的安装中选择该介质就可以减少网络复制。
制作安装介质的方法：
在RWDC上，打开cmd，utdsutil，active instance ntds，ifm。
要建立
不包含SYSVOL的目录数据副本，使用命令create RODC SaveFolder。（ SaveFolder是保存路径）
要建立
包含SYSVOL的目录数据副本，使用命令create SYSVOL RODC SaveFolder。（ SaveFolder是保存路径）
另外，使用类似的命令，可以制作用于额外域控制器的安装介质。
要建立
不包含SYSVOL的目录数据副本，使用命令create full SaveFolder。（ SaveFolder是保存路径）
要建立
包含SYSVOL的目录数据副本，使用命令create SYSVOL full SaveFolder。（ SaveFolder是保存路径）
-
使用密码复制策略的场景：
1）当RODC服务器的物理安全无法保证时，可禁止帐户被缓存。
2）当RODC服务器的物理安全正常，但无法总是有把握时，可允许少数帐户被缓存。
3）当RODC服务器的物理安全总是有保证时，可允许很多帐户被缓存。
-
要管理密码复制策略，必须使用Domain Admin组的成员登陆RWDC，在RODC的计算机上点击右键，属性，在密码复制策略进行添加、删除、修改的操作。
-
判断帐户是否被允许或限制缓存，必须使用Domain Admin组的成员登陆RWDC，在RODC的计算机上点击右键，属性，选择密码复制策略，高级，在结果策略中进行查询。
-
如果RODC被盗，可以通过RWDC上删除RODC的计算机，系统会提示重置RODC上缓存了的账户重设密码。使用导出按钮导出被重设密码的清单。
-
在RODC安装中，可以委派一个账户作为RODC的管理员，但在域中却是Domain Users组的成员。有时候，一个RODC的管理员帐号是不够用的。管理委派权限的方法如下，
用委派的账户登录RODC，cmd，dsmgmt，local roles，show role administrators（列出当前管理员，默认配置中，不会显示任何用户或组）。
添加委派域用户，add Domain\User administrators（Domain是域名，User是用户名）
删除委派域用户，remove Domain\User administrators（Domain是域名，User是用户名）
转载于:https://blog.51cto.com/cenchao/174377