RODC

唯讀域控制器 (RODC) 是 Windows Server 2008 作業系統中的一種新類型的域控制器。藉助 RODC，組織可以在無法保證物理安全性的位置中輕鬆部署域控制器。RODC 承載 Active Directory域服務 (AD DS) 資料庫的唯讀分區。

基本介紹

• 中文名：唯讀域控制器
• 外文名：RODC
• 作業系統：Windows Server 2008 
• 類別：一種新類型的域控制器

唯讀域控制器 (RODC)

唯讀域控制器 (RODC) 是 Windows Server 2008 作業系統中的一種新類型的域控制器。藉助 RODC，組織可以在無法保證物理安全性的位置中輕鬆部署域控制器。RODC 承載 Active Directory域服務 (AD DS) 資料庫的唯讀分區。

設計 RODC 主要是為了在分支機構環境中部署。分支機構通常用戶相對較少，物理安全性差，連線中線站點的網路頻寬也相對較低，並且缺乏本地 IT 知識。

下圖展示了 RODC 分支機構環境。

在 Windows Server 2008 發布之前，如果用戶必須通過廣域網 (WAN) 對域控制器進行身份驗證，則沒有合適的替代方案。在許多情況下，這不是一個有效的解決方案。分支機構通常不能為可寫域控制器提供所需的充分的物理安全性。此外，當分支機構連線到中心站點時，其網路頻寬狀況通常較差。這可能增加登錄所需的時間。它還可能妨礙對網路資源的訪問。

從 Windows Server 2008 開始，組織可以部署 RODC 來解決這些問題。因此，用戶在此情況下可以獲得以下好處：

提高的安全性

更快的登錄速度

更有效地訪問網路上的資源

有關 RODC 的詳細信息，請參閱唯讀域控制器 (RODC) 計畫和部署指南

RODC 有什麼作用？

物理安全性不足是考慮部署 RODC 的最常見原因。RODC 提供了一種在要求快速、可靠的身份驗證服務但不能確保可寫域控制器的物理安全性的位置中更安全地部署域控制器的方法。

但是，您的組織也可選擇根據特殊管理要求部署 RODC。例如，行業 (LOB) 應用程式只有在安裝在域控制器上的情況下，才可以成功運行。或者，域控制器可能是分支機構中唯一的伺服器，並且可能必須承載伺服器應用程式。

在這種情況下，LOB 應用程式的所有者必須經常以互動方式登錄到域控制器，或使用終端服務配置和管理應用程式。此情況產生了在可寫域控制器上可能無法接受的安全風險。

RODC 為在此方案中部署域控制器提供了更安全的機制。您可以向非管理域用戶授予登錄到 RODC 的許可權，同時最小化 Active Directory 林的安全風險。

還可以在其他方案中部署 RODC，例如，Extranet 或面向應用程式的角色中，其中本地存儲的所有域用戶密碼是主要威脅。

誰會對該功能感興趣？

RODC 主要設計用於部署在遠程或分支機構環境中。分支機構通常具有以下特性：

相對較少的用戶

物理安全性差

到中心站點的網路頻寬相對較差

對信息技術 (IT) 的了解很少

如果您屬於以下組別，則應關注本部分以及有關 RODC 的附加支持文檔：

從技術方面評估該產品的 IT 計畫者和分析者

各組織的企業 IT 計畫者和設計者

負責 IT 安全的人員

管理小型分支機構的 AD DS 管理員

是否有其他特殊注意事項？

若要部署 RODC，在域中至少有一個可寫域控制器必須運行 Windows Server 2008。此外，域和林的功能性的級別必須是 Windows Server 2003 或更高版本。

有關部署 RODC 的先決條件的詳細信息，請參閱部署此功能應做哪些準備工作？

此功能提供了哪些新用途？

RODC 解決了分支機構中的一些常見問題。這些位置可能沒有域控制器。或者，這些位置可能具有可寫域控制器，但是不具備支持它的物理安全性、網路頻寬或本地專業知識。以下 RODC 功能將有助於改善這些問題：

唯讀 AD DS 資料庫

單向複製

憑據快取

管理員角色分隔

唯讀域名系統 (DNS)

唯讀 AD DS 資料庫

除帳戶密碼之外，RODC 保存了可寫域控制器所保留的所有 Active Directory 對象和屬性。但是，不能對存儲在 RODC 上的資料庫進行更改。更改必須在可寫域控制器上進行，然後複製回 RODC。

請求對目錄的讀取訪問的本地應用程式可以獲取訪問許可權。請求寫入訪問的輕型目錄應用程式協定 (LDAP) 應用程式將接收 LDAP 引用回響。此回響將其定向到可寫域控制器（一般在中心站點中）。

RODC 篩選的屬性集

某些將 AD DS 用作數據存儲的應用程式可能具有不希望存儲在 RODC 上的類似憑據的數據（例如密碼、憑據或加密密鑰），以防 RODC 的安全受到危害。

對於這些類型的應用程式，可以在架構中為將不會複製到 RODC 的域對象動態配置一組屬性。這組屬性稱為 RODC 篩選的屬性集。在 RODC 篩選的屬性集中定義的屬性不允許複製到林中的任何 RODC。

威脅 RODC 的惡意用戶可以嘗試採用這種方式對其進行配置，以試圖複製在 RODC 篩選的屬性集中定義的屬性。如果 RODC 嘗試從運行 Windows Server 2008 的域控制器複製這些屬性，則複製請求會被拒絕。但是，如果 RODC 嘗試從運行 Windows Server 2003 的域控制器複製屬性，則複製請求可能成功。

因此，出於安全考慮，如果您計畫配置 RODC 篩選的屬性集，請確保林功能級別為 Windows Server 2008。當林功能級別為 Windows Server 2008 時，無法以這種方式使用受到威脅的 RODC，因為林中不允許運行 Windows Server 2003 的域控制器。

不得將系統關鍵屬性添加到 RODC 篩選的屬性集。如果一個屬性是 AD DS、本地安全機構 (LSA)、安全帳戶管理器 (SAM) 和 Microsoft 特定的安全服務提供程式接口 (SSPI)（例如 Kerberos）正常工作所要求的，則該屬性是系統關鍵屬性。系統關鍵屬性的 schemaFlagsEx 屬性值等於 1 (schemaFlagsEx attribute value & 0x1 = TRUE)。

RODC 篩選的屬性集在保存架構操作主機角色的伺服器上進行配置。當架構主機運行 Windows Server 2008 時，如果嘗試將系統關鍵的屬性添加到 RODC 篩選集，則伺服器將返回 "unwillingToPerform" LDAP 錯誤。如果嘗試將系統關鍵的屬性添加到在 Windows Server 2003 架構主機上的 RODC 篩選的屬性集，則操作看起來成功，但實際上屬性未添加。因此，在將屬性添加到 RODC 篩選的屬性集時，建議架構主機為 Windows Server 2008 域控制器。這確保在 RODC 篩選的屬性集中不包括系統關鍵的屬性。

單向複製

因為不會將更改直接寫入 RODC，不會有更改源自 RODC。相應地，作為複製合作夥伴的可寫域控制器不必從 RODC 拉進更改。這意味著惡意用戶在分支位置可能進行的任何更改或損壞不能從 RODC 複製到林的其餘部分。這也減少了集線器中橋頭伺服器的工作負荷以及監視複製所需的努力。

RODC 單向複製同時適用於 AD DS 和 SYSVOL 的分散式檔案系統 (DFS) 複製。針對 AD DS 和 SYSVOL 更改，RODC 執行正常的入站複製。

備註：RODC 上配置為使用 DFS 複製進行複製的任何其他共享都將採用雙向複製。

憑據快取

憑據快取指用戶或計算機憑據的存儲。憑據由與安全主體相關的一組大約 10 個密碼組成。默認情況下，RODC 不存儲用戶或計算機憑據。例外情況為 RODC 的計算機帳戶和每個 RODC 具有的特殊 krbtgt 帳戶。您必須明確允許任何其他憑據在 RODC 上快取。

RODC 作為分支機構的密鑰發行中心 (KDC) 播發。當 RODC 對票證授予票證 (TGT) 請求進行簽名或加密時，它使用與可寫域控制器上的 KDC 使用的帳戶和密碼不同的 krbtgt 帳戶和密碼。

在帳戶成功經過身份驗證後，RODC 將嘗試與中心站點中的可寫域控制器聯繫並請求獲取相應憑據的副本。可寫域控制器可以識別出請求來自某個 RODC 並查詢對該 RODC 有效的密碼複製策略。

密碼複製策略確定是否可以將用戶憑據或計算機憑據從可寫域控制器複製到 RODC。如果密碼複製策略允許複製憑據，則可寫域控制器將憑據複製到 RODC，然後 RODC 快取憑據。

在 RODC 上快取憑據之後，RODC 就可以直接服務該用戶的登錄請求，直到憑據更改。（當使用 RODC 的 krbtgt 帳戶對 TGT 簽名時，RODC 將識別出它具有憑據的快取副本。如果其他域控制器對 TGT 簽名，則 RODC 將請求轉發到可寫域控制器。）

通過將憑據快取僅限於通過 RODC 驗證身份的用戶，通過危害 RODC 而使憑據泄露的可能性也得到限制。通常，在任何給定的 RODC 上只快取一小部分域用戶的憑據。因此，如果出現 RODC 被竊的情況，只有 RODC 上快取的那些憑據可能會被破解。

保持憑據快取處於禁用狀態可能進一步限制泄露，但它將導致所有身份驗證請求被轉發到可寫域控制器。管理員可以修改默認密碼複製策略以允許在 RODC 上快取用戶憑據。

管理員角色分隔

可以將 RODC 的本地管理許可權委託給任何域用戶，而無需授予該用戶對該域或其他域控制器的任何用戶許可權。這允許本地分支用戶登錄到 RODC 並在伺服器上執行維護工作（例如升級驅動程式）。但是，分支用戶不能登錄到任何其他域控制器或在域中執行任何其他管理任務。以此方式，分支用戶可以被委派在分支機構中有效地管理 RODC 的能力，而不會危害域的其餘部分的安全。

唯讀 DNS

可以在 RODC 上安裝 DNS 伺服器服務。RODC 能夠複製 DNS 使用的所有應用程式目錄分區（包括 ForestDNSZones 和 DomainDNSZones）。如果已在 RODC 上安裝了 DNS 伺服器，則客戶端可以與查詢任何其他 DNS 伺服器一樣，查詢該 DNS 伺服器以進行名稱解析。

但是，RODC 上的 DNS 伺服器是唯讀的，所以並不直接支持客戶端更新。有關 DNS 伺服器在 RODC 上如何處理 DNS 客戶端更新的詳細信息，請參閱位於 RODC 站點的客戶端的 DNS 更新。

添加或更改了哪些設定？

為了支持 RODC 密碼複製策略，Windows Server 2008 AD DS 包含了新的屬性。密碼複製策略是一種機制，用於確定是否允許將用戶或計算機的憑據從可寫域控制器複製到 RODC。在運行 Windows Server 2008 的可寫域控制器上始終設定密碼複製策略。

在 Windows Server 2008 Active Directory 架構中為支持 RODC 而添加的 AD DS 屬性包括以下內容：

msDS-Reveal-OnDemandGroup msDS-NeverRevealGroup msDS-RevealedList msDS-AuthenticatedToAccountList 有關這些屬性的詳細信息，請參閱 RODC 計畫和部署指南

部署此功能應做哪些準備工作？

部署 RODC 的先決條件如下所示：

RODC 必須將身份驗證請求轉發到運行 Windows Server 2008 的可寫域控制器。在此域控制器上設定了密碼複製策略，以確定是否為從 RODC 轉發的請求將憑據複製到分支位置。域功能性的級別必須是 Windows Server 2003 或更高版本，以便可以使用 Kerberos 受限制的委派。受限制的委派用於必須在調用方的上下文中模擬的安全調用。林功能性的級別必須是 Windows Server 2003 或更高版本，以便可以使用連結值複製。這提供了更高級別的複製一致性。在林中必須運行一次 adprep /rodcprep 以更新在林中的所有 DNS 套用