Win2008 R2实战之只读域控制器部署(图)有修改
Win2008 R2实战之只读域控制器部署(图)
近日，Contoso公司在广州又设立了一个分支办公室，拥有大约40名工作人员，但为了节省运营成本，只申请了一条2M的ADSL进行互联网应用和与总部数据通信。由于广州办广域网链路速度慢、不可靠，而且没有专业的IT技术人员进行维护，服务器的物理安全也得不到保障，但是这40人每日的都与总部的域控制器进行身份验证和Internet访问查询的话，工作效率必将大大折扣。于是，经过IT部门讨论，他们决定在广州办部署Windows Server 2008 R2作为只读域控制器来简化IT技术人员的工作，提高广州办的办公效率，同时也可以提高广州办网络环境的的安全性。
一、 什么是只读域控制器（Read-Only Domain Controller）
RODC是Windows Server 2008 新引入的一个活动目录特性，与其他域控制器一样，RODC也包含AD数据库，但除了本地管理员和RODC账户，RODC默认不保存域用户账户密码，并且RODC中包含的数据库也是只读的。RODC只能单向的从其他可读写域控制器请求信息，而不会把任何修改传送给其他可写域控制器，这样做不仅可以降低桥头服务器的工作负载及监控负载的工作量，还可以提高分支机构网络的安全性，同时便于管理。
二、 RODC在Contoso公司应用的好处
只读活动目录服务可以降低因物理安全因素带来的网络安全威胁。
降低了网络之间复制的负载。
缓存凭证可以加速分支用户使用域服务的速度，降低了系统在遭到破坏时暴露的用户信息的数量。
独立并有限的管理权限，可降低分支机构管理员权限过大对活动目录的威胁。
只读DNS可以加快分支机构访问Internet的响应时间，但不会做动态更新，如果分支机构向要更新记录信息，RODC会向可读写域控制器的DNS发送一个DNS复制单个对象的改动请求，可读写的DNS响应这个请求后，会把改动通过单向复制传回RODC。
三、 部署RODC的先决条件
1. 森林功能级别需要是Windows 2003或以上级别。
2. 域内需要至少一个Windows 2008域控制器，作为RODC的复制伙伴。
3. PDC角色必须允许在Windows 2008上。
4. 活动目录内需要存在正常可读写的域控制器。
四、 部署RODC
环境拓扑：如图1
图1
注意：由于RODC的只读特性带来的限制，RODC不能作为桥头服务器，因为桥头服务器必须支持双向复制。
在林中必须运行一次adprep /rodcprep以更新在林中的所有DNS应用程序目录分区上的权限
使用Enterprise Admins成员身份登录主域控制器，将系统安装盘放进光驱，在命令行下进入光驱的\support\adprep目录，输入命令adprep /rodcprep
1. 为RODC创建预安装计算机账户，然后将RODC的安装及管理权限委派给一个普通域用户，这样做简化了异地RODC的安装步骤，也避免了以传统方式创建域控制器时，敏感信息的泄露。
2. 打开【Active Directory 用户和计算机】，打开【Contoso.com】域，右击【Domain Controllers】OU，选择【预创建只读域控制器账户】，如图2
.jpg)
图2
3. 此时将会调用AD域服务安装向导，导航至【指定计算机名称】，输入只读域控制器的计算机名【RODC1】，如图3
.jpg)
图3
4. 在选择站点页面，选择只读域控制器所在站点【south】，站点要在AD站点与服务里必须在安装前建立好。如图4
.jpg)
图4
5. 在其他域控制器选项中，可设置是否安装DNS和全局编录，但RODC选项已经默认选中，并不可取消。选中DNS将支持与远端的RODC的DNS复制更新，如图5
.jpg)
图5
6. 在RODC安装和管理委派页中，可以指定一个普通域用户作为只读域控制器的管理员，这里我委派一个名为【RODCadmin】的域用户来管理只读域控制器。如图6
.jpg)
图6
7. 检查一下配置汇总，没有问题，既完成了RODC计算机账户的创建。
远端的RODC安装开始
8. 使用具有域管理员权限的用户登录到RODC服务器中，安装好AD DS角色，运行【DCPROMO】命令，进行域控制器的安装。
注意：此时的RODC服务器必须处于工作组状态，与活动目录无关。
依次点击“Start”—“Run”，输入dcpromo，按Enter；打开dcpromo安装向导，向导首先检查是否有安装AD DS角色，如果没有，将会自动安装，如下图；
2、安装完AD DS角色后，显示“Welcome to the Active Directory Domain Services Installation Wizard”对话框，选择“Use advanced mode installation”，单击“Next”按钮；
3、直接单击“Operating System Compatibility”中的“Next”按钮；
4、选择“Existing forest”，选择“Add a domain controller to an existing domain”,单击“Next”；
5、在域服务安装向导网络凭据中，键入当前域名称【contoso.com】，在备用凭据中指定RODC的管理员用户【RODCadmin】。如图7
.jpg)
6、选择RODC所在的域,出现如下“select a domain”对话框，确定2次警告信息
.jpg)
.jpg)
7、选择域控制器存放的站点，站点要对应好，按前文设定的South ，直接单击“Next”；
8、我们需要将这台子域域控制器同时担任DNS和GC的角色，所以这里选中“DNS Server”、“Global Catalog”和“Read only domain controller（RODC）”，单击“Next”；
9、显示如图所示“Specify the Password Replication Policy”对话框，密码复制策略决定用户或计算机凭据是否从可读写域控制器复制到RODC，如果允许，凭据将缓存到RODC上，这里我们允许“RODCUsers”组中的用户缓存到RODC上。
单击“Add”按钮，显示“Add Groups，Users and Computers”对话框，选择“Allow passwords for the account to replicate to this RODC”，单击“OK”按钮，显示“Select Users，Computers，or Groups”对话框，输入准备复制到RODC的用户，单击“OK”,返回“Specify the Password Replication Policy”对话框，单击“Next”；
10、显示“Delegation of RODC Installation and Administration”对话框，设置管理RODC的账户，这里我们设置RODCAdmins组成员具备对RODC的管理权限。
单击“Set”按钮，显示“Select Users，Computers，or Groups”对话框，输入准备设置为管理RODC的组或用户，单击“OK”,返回“Delegation of RODC Installation and Administration”对话框，单击“Next”；
11、显示“Install from Media”对话框，这里我们选择“Replicate data over the network from an existing domain controller”，单击“Next”；（如果从介质安装，请参考“MCITP必备技能（4）——从介质安装AD DS”）
12、显示“Source Domain Controller”对话框，设置缓存账户的源域控制器，默认情况下源域控制器是第一台域控制器，可以由向导自动选择，也可以手动设置，这里我们选中“Use this specific domain controller”，在下方框中选择源域控制器，单击“Next”；
13、设置数据库、日志和SYSVOL的位置，在生产环境中，出于性能和可恢复性的要求，建议分别放在不同的磁盘或存储设备中，之后单击“Next”；
14、设置目录服务欢迎模式下的administrator密码（该密码用户进行AD DS恢复时使用，如果忘记，还可以通过ntdsutil.exe工具来重置），单击“Next”；
15、出现“Summary”窗口，显示AD DS的设置信息，单击“Next”按钮，这里也可以先点击“Export settings…”按钮将设置信息导出成文本文件，用于以后的无人值守安装；
.jpg)
16、弹出AD DS安装窗口
17、完成后点击“Finish”；
18、提示需要重启电脑，点击“Restart Now”重启
19、至此，只读域控制器（RODC）便部署成功了。
七、验证RODC
1、 域控制器状态
使用RODCAdmins成员身份登录RODC，打开“Active Directory Users and Computers”，查看“Domain Controllers”中，该域控制器的DC Type一栏是否Read-only，如图
2、 验证是否能创建对象
在“Active Directory Users and Computers”中右键点击“Users”容器，可以看到并没有“New”菜单，说明无法创建对象，AD数据库为只读。
3、 验证DNS
打开DNS管理器，依次展开“（服务器名）”—“Forward Lookup Zones”—“（域名）”，在域名上右键，点击“Properties”，查看各更改项按钮是否显示为灰色；
4、 “Read-only Domain Controllers”组验证
在“Active Directory Users and Computers”中，依次选择域名—“Users”，右键点击“Read-only Domain Controllers”，点击“Properties”，选择“Members”页，查看成员中是否有该域控制器。
五、RODC的配置
在部署完只读域控制器后，需要在可读写的复制伙伴域控制器配置密码复制策略，也就是凭证缓存，用来提高使用RODC的用户的访问体验。
密码复制策略可以被看成是RODC的访问控制列表，用来控制RODC是否缓存用户账户密码，缓存谁的密码，拒绝缓存哪些账户的密码。例如，域管理员可以事先指定RODC允许缓存的用户账户或者计算机账户，这样即使广州办的WAN链接断开，RODC也依然可以对这些账户进行身份验证。
在Windows Server 2008的AD域中引入了两个新的内置组来支持RODC的操作，这两个组是：【允许RODC密码复制组】和【拒绝RODC密码复制组】。默认情况下，允许RODC密码复制组不包含任何成员，但拒绝RODC密码复制组则包含下列成员：
" 企业域控制器
" 企业只读域控制器
" 组策略创建者所有者
" Domain Admins
" 证书发行者
" Enterprise Admins
" Schema Admins
" 域范围 krbtgt 帐户
例如，可以在将广州办所有的计算机和常用用户账户加入到【允许RODC密码复制组】中。不过需要注意的是，存在于【拒绝RODC密码复制组】中的账户优先级要高于【允许RODC密码复制组】中的用户。
如果关闭RODC或者关机，则刷新RODC上的缓存并且缓存中的对象不再可用，直到RODC反向链接到网络上的全局目录服务器。
通过RODC的部署，Contoso公司使用Windows Server 2008 R2为广州办的提供了稳定，快速，高效的身份验证机制，同时兼顾了物理安全、网络安全，降低了服务器管理方面的难度。
