RODC学习笔记
RODC即只读域控制,用于不能保证服务器物理安全的分支机构。RODC和RWDC是单向复制,无需担心被破解等问题。
RODC需求的服务器操作系统环境:域和林功能都工作在Windows Server 2003级别以上,并且该域的PDC仿真器运行在Windows Server 2008或更高的版本上。
RODC需求的客户端操作系统环境:Windows 2000、Windows XP、Windows Server 2003、Windows Vista。
在RODC上,我们除了安装RODC外,还可以安装只读DNS(包括ForestDNSZones和DomainDNSZones)、全局编录。
只读DNS不包含完整的区域或域数据变动复制列表。
RODC工作基本原理:用户凭据提交到RODC上,RODC通过和RWDC通信来获取用户或计算机凭据等信息。
注意:RODC不能充当桥头服务器或承载操作主机的角色。在用一个域的同一站点内,无法放置超过一台的RODC;同一个或不同域都有RWDC的情况下,每个站点中都可以放置一台RODC,同时每个域都可以仿制RODC。
为确保RODC可以复制目录分区,该域控制器必须是全局编录服务器。
安装RODC时,使用高级模式安装,会有一些额外的选项。比如从安装介质安装RODC或密码复制策略等等。
-
随着企业域数据库的增长,如果RODC安装时从网络复制,那么需要占用大量的网络资源。此时,可以从RWDC上导出安装介质然后在RODC的安装中选择该介质就可以减少网络复制。
制作安装介质的方法:
在RWDC上,打开cmd,utdsutil,active instance ntds,ifm。
要建立不包含SYSVOL的目录数据副本,使用命令create RODC SaveFolder。( SaveFolder是保存路径)
要建立包含SYSVOL的目录数据副本,使用命令create SYSVOL RODC SaveFolder。( SaveFolder是保存路径)
另外,使用类似的命令,可以制作用于额外域控制器的安装介质。
要建立不包含SYSVOL的目录数据副本,使用命令create full SaveFolder。( SaveFolder是保存路径)
要建立包含SYSVOL的目录数据副本,使用命令create SYSVOL full SaveFolder。( SaveFolder是保存路径)
-
使用密码复制策略的场景:
1)当RODC服务器的物理安全无法保证时,可禁止帐户被缓存。
2)当RODC服务器的物理安全正常,但无法总是有把握时,可允许少数帐户被缓存。
3)当RODC服务器的物理安全总是有保证时,可允许很多帐户被缓存。
-
要管理密码复制策略,必须使用Domain Admin组的成员登陆RWDC,在RODC的计算机上点击右键,属性,在密码复制策略进行添加、删除、修改的操作。
-
判断帐户是否被允许或限制缓存,必须使用Domain Admin组的成员登陆RWDC,在RODC的计算机上点击右键,属性,选择密码复制策略,高级,在结果策略中进行查询。
-
如果RODC被盗,可以通过RWDC上删除RODC的计算机,系统会提示重置RODC上缓存了的账户重设密码。使用导出按钮导出被重设密码的清单。
-
在RODC安装中,可以委派一个账户作为RODC的管理员,但在域中却是Domain Users组的成员。有时候,一个RODC的管理员帐号是不够用的。管理委派权限的方法如下,
用委派的账户登录RODC,cmd,dsmgmt,local roles,show role administrators(列出当前管理员,默认配置中,不会显示任何用户或组)。
添加委派域用户,add Domain\User administrators(Domain是域名,User是用户名)
删除委派域用户,remove Domain\User administrators(Domain是域名,User是用户名)
發表評論
所有評論
還沒有人評論,想成為第一個評論的人麼? 請在上方評論欄輸入並且點擊發布.