Wi
dowsServer2008R2域控制器：仔细规划RODC
PaulYu
在缺乏物理安全性时，提高对数据安全性的关注就变得很重要。Wi
dowsServer2008和R2提供了一些新方法来实现这一点，这些方法似乎就是专门为物理安全性不严格的远程办公室这样的环境量身定制的。只读域控制器RODC是Wi
dowsServer系统中ActiveDirectory域服务ADDS的一项新功能。只读域控制器体现了对通常使用域控制器DC的方式的根本改变。因为RODC的许多新功能会影响设计和部署过程的关键方面，所以了解如何在您的企业中利用这些功能十分重要。在将这些功能引入到您的环境中之前，还有一些必须考虑的关键性设计和规划注意事项。RODC是这样一种DC，它承载ActiveDirectory数据库分区的完整只读副本、SYSVOL的只读副本，以及对来自可写DC的某些应用程序数据的入站复制进行限制的筛选属性集FAS。默认情况下，RODC不会有选择地存储用户和计算机帐户凭据，但是您可以将其配置为进行选择性存储。这通常只会保证在远程分支机构中或在数据中心I
tra
et中通常缺少物理安全性的外围网络中使用RODC。RODC还提供其他不太知名的安全功能，例如专门的KerberosRODC票证授予帐户，用于应对与遭到破坏的RODC本身相关联的基于票证的攻击。虽然关注安全性是部署RODC的最常见原因，但是RODC也提供了许多其他优点，例如企业可管理性和可伸缩性。一般而言，RODC用于需要本地身份验证和授权，但缺乏安全地使用可写DC的物理安全性这样的环境。因此，RODC在数据中心外围网络或分支机构位置中最常见。需要ADDS的数据中心就是有效利用RODC的一个典范，但是由于安全约束而无法在外围网络中利用公司的ADDS林。在这种情况下，RODC可能满足相关的安全要求，因此改变了公司实现ADDS的基础结构范围。此类情形将可能变得更常见。这也反应了外围网络的当前最佳实践ADDS模型，例如扩展的公司林模型。
使用RODC建立分支机构
使用ADDS的RODC的最常见环境仍然是分支机构。这类环境通常是中心辐射型网络拓扑中的端点。它们通常分布于广泛的地理位置中，而且数量巨大，分别承载少量用户群，通过速度较慢且不可靠的网络链路连接到中心站点，并且常常缺乏经验丰富的本地管理员。对于已经承载可写DC的分支机构，可能不需要部署RODC。但是在这种情况下，RODC不但可满足现有的ADDS相关要求，而且超出其关于提高安全性、增强管理、简化体系结构和降低总体拥有成本TCO的要求。对于由于安全性或可管理性要求而禁止使用DC的位置，RODC可帮助您将DC引入环r