Win2008 R2实战之只读域控制器部署

近日，Contoso公司在广州又设立了一个分支办公室，拥有大约40名工做人员，但为了节省运营成本，只申请了一条2M的ADSL进行互联网应用和与总部数据通讯。因为广州办广域网链路速度慢、不可靠，并且没有专业的IT技术人员进行维护，服务器的物理安全也得不到保障，可是这40人每日的都与总部的域控制器进行身份验证和Internet访问查询的话，工做效率必将大大折扣。因而，通过IT部门讨论，他们决定在广州办部署Windows Server 2008 R2做为只读域控制器来简化IT技术人员的工做，提升广州办的办公效率，同时也能够提升广州办网络环境的的安全性。

1、 什么是只读域控制器（Read-Only Domain Controller）

RODC是Windows Server 2008 新引入的一个活动目录特性，与其余域控制器同样，RODC也包含AD数据库，但除了本地管理员和RODC帐户，RODC默认不保存域用户帐户密码，而且RODC中包含的数据库也是只读的。RODC只能单向的从其余可读写域控制器请求信息，而不会把任何修改传送给其余可写域控制器，这样作不只能够下降桥头服务器的工做负载及监控负载的工做量，还能够提升分支机构网络的安全性，同时便于管理。

2、 RODC在Contoso公司应用的好处

只读活动目录服务能够下降因物理安全因素带来的网络安全威胁。

下降了网络之间复制的负载。

缓存凭证能够加速分支用户使用域服务的速度，下降了系统在遭到破坏时暴露的用户信息的数量。

独立并有限的管理权限，可下降分支机构管理员权限过大对活动目录的威胁。

只读DNS能够加快分支机构访问Internet的响应时间，但不会作动态更新，若是分支机构向要更新记录信息，RODC会向可读写域控制器的DNS发送一个DNS复制单个对象的改动请求，可读写的DNS响应这个请求后，会把改动经过单向复制传回RODC。

3、 部署RODC的先决条件

1. 森林功能级别须要是Windows 2003或以上级别。

2. 域内须要至少一个Windows 2008域控制器，做为RODC的复制伙伴。

3. PDC角色必须容许在Windows 2008上。

4. 活动目录内须要存在正常可读写的域控制器。

4、 部署RODC

环境拓扑：如图1

图1

注意：因为RODC的只读特性带来的限制，RODC不能做为桥头服务器，由于桥头服务器必须支持双向复制。

1. 为RODC建立预安装计算机帐户，而后将RODC的安装及管理权限委派给一个普通域用户，这样作简化了异地RODC的安装步骤，也避免了以传统方式建立域控制器时，敏感信息的泄露。

2. 打开【Active Directory 用户和计算机】，打开【Contoso.com】域，右击【Domain Controllers】OU，选择【预建立只读域控制器帐户】，如图2

图2

3. 此时将会调用AD域服务安装向导，导航至【指定计算机名称】，输入只读域控制器的计算机名【RODC1】，如图3

图3

4. 在选择站点页面，选择只读域控制器所在站点【south】。如图4

图4

5. 在其余域控制器选项中，可设置是否安装DNS和全局编录，但RODC选项已经默认选中，并不可取消。如图5

图5

6. 在RODC安装和管理委派页中，能够指定一个普通域用户做为只读域控制器的管理员，这里我委派一个名为【RODCadmin】的域用户来管理只读域控制器。如图6

图6

7. 检查一下配置汇总，没有问题，既完成了RODC计算机帐户的建立。

8. 使用具备域管理员权限的用户登陆到RODC服务器中，安装好AD DS角色，运行【DCPROMO】命令，进行域控制器的安装。

注意：此时的RODC服务器必须处于工做组状态，与活动目录无关。

9. 在域服务安装向导网络凭据中，键入当前域名称【contoso.com】，在备用凭据中指定RODC的管理员用户【RODCadmin】。如图7

图7

10. 肯定2次警告信息，如图八、9

图8

图9

11. 确认AD的数据库、日志及sysvol的存储位置，目录还原密码，查看摘要信息没有问题，便可开始AD DS的安装。如图10

图10

5、RODC的配置

在部署完只读域控制器后，须要在可读写的复制伙伴域控制器配置密码复制策略，也就是凭证缓存，用来提升使用RODC的用户的访问体验。

密码复制策略能够被当作是RODC的访问控制列表，用来控制RODC是否缓存用户帐户密码，缓存谁的密码，拒绝缓存哪些帐户的密码。例如，域管理员能够事先指定RODC容许缓存的用户帐户或者计算机帐户，这样即便广州办的WAN连接断开，RODC也依然能够对这些帐户进行身份验证。

在Windows Server 2008的AD域中引入了两个新的内置组来支持RODC的操做，这两个组是：【容许RODC密码复制组】和【拒绝RODC密码复制组】。默认状况下，容许RODC密码复制组不包含任何成员，但拒绝RODC密码复制组则包含下列成员：

" 企业域控制器

" 企业只读域控制器

" 组策略建立者全部者

" Domain Admins

" 证书发行者

" Enterprise Admins

" Schema Admins

" 域范围 krbtgt 账户

例如，能够在将广州办全部的计算机和经常使用用户帐户加入到【容许RODC密码复制组】中。不过须要注意的是，存在于【拒绝RODC密码复制组】中的帐户优先级要高于【容许RODC密码复制组】中的用户。

若是关闭RODC或者关机，则刷新RODC上的缓存而且缓存中的对象再也不可用，直到RODC反向连接到网络上的全局目录服务器。

经过RODC的部署，Contoso公司使用Windows Server 2008 R2为广州办的提供了稳定，快速，高效的身份验证机制，同时兼顾了物理安全、网络安全，下降了服务器管理方面的难度。

正当小赵部署配置完RODC，觉得万事大吉的时候，经理走过来讲：如今广州办尚未专业的机房，RODC的服务器就放在办公室里，万一被盗，那硬盘里的公司信息怎么办？小赵一听，陷入了沉思。其实解决这个问题的办法就藏在Windows Server 2008 R2中，请听下回分解：强大的磁盘保护系统，Bitlocker。