Para que serve um controlador de domínio somente leitura?

O Windows Server 2008 introduziu controladores de domínio somente leitura, que recebem uma réplica completa do banco de dados do domínio, mas não podem modificá-lo, como um bom e antigo BDC do Windows NT.

Conheço todos os detalhes técnicos de como executar esses semi-CDs (acabei de passar de 70-646 e 70-647), mas ainda não tenho uma resposta clara para a pergunta mais importante de todas: por que você deveria usá-los ?

Este comentário do TheCleaner realmente resume para mim:

@ Massimo - sim, você está correto. Você está procurando um motivo convincente para um RODC e não há um. Ele possui alguns recursos de segurança adicionais para ajudar a aliviar a segurança das filiais e, na verdade, só precisa ser implantado lá se você não tiver um controlador de domínio lá e for anal sobre sua segurança.

Era o mesmo que eu estava pensando ... um pequeno aumento na segurança, sim, claro, mas definitivamente não muito para valer a pena.

Vou te dar um cenário do mundo real:

• nós temos um em nossa filial na China

Nós o usamos porque não há um departamento de TI, lidamos com todos os pedidos de contas do AD, etc. aqui nos EUA. Por ter um RODC, sabemos:

1. Ninguém lá pode fazer logon e tentar "invadir" o AD.
2. Ninguém pode roubá-lo e conseguir algo que valha a pena voltar e "invadir" a rede mais tarde.

Por ter AD / DNS somente leitura, não precisamos nos preocupar com tentativas de manipular os dados no controlador de domínio.

Isso ocorre devido aos recursos encontrados aqui: http://technet.microsoft.com/en-us/library/cc732801%28WS.10%29.aspx

É mais "tranqüilidade" do que qualquer outra coisa para nós ... além de permitir uma instalação mínima do servidor, pois era apenas o núcleo do servidor com a função RODC instalada. Colocamos em um servidor 1U mais antigo com 2 unidades Raid-1 18GB. Na verdade, colocamos 2 deles na ... mesma configuração exata usando hardware antigo não garantido que tínhamos nos racks.

Simples, faz o que precisa e não precisamos nos preocupar com isso. Se uma das caixas falhar, simplesmente a substituiríamos novamente.

Eu tenho um capítulo inteiro sobre esse recurso no meu livro (www.briandesmond.com/ad4/). O longo e curto disso é que esse é um recurso de segurança e, para organizações distribuídas, é um grande negócio.

Existem dois cenários realmente grandes aqui:

-> RODCs não armazenam senhas por padrão. Isso significa que se alguém obtém fisicamente os discos do servidor, eles não obtêm todas as senhas de usuário (e computador).

A resposta correta se alguém roubar um RWDC é redefinir TODAS as senhas no domínio, pois você pode considerá-las todas comprometidas. Esta é uma grande empresa.

Com um RODC, você pode dizer apenas que as senhas do subconjunto X de usuários e computadores são armazenadas em cache. Quando o RODC realmente armazena em cache a senha, ele armazena essas informações no AD. Se o RODC for roubado, você terá uma pequena lista de senhas que precisam ser redefinidas.

-> RODCs replicam unidirecionalmente. Se alguém roubasse sua RWDC, fizesse algumas alterações e a conectasse novamente, essas alterações seriam replicadas novamente no ambiente. Por exemplo, eles podem se adicionar ao grupo de administradores de domínio ou redefinir todas as senhas de administrador ou algo assim. Com um RODC, isso simplesmente não é possível.

Não há melhoria de velocidade, a menos que você esteja colocando um RODC em um local que não tinha um controlador de domínio lá antes e provavelmente haverá uma melhoria de velocidade em alguns cenários.

A resposta do The Cleaner está realmente incorreta. Existem muitos cenários convincentes para os RODCs e posso pensar em várias implantações deles em escala imediata. Isso é coisa simples de segurança, não a coisa "anal sobre segurança".

Obrigado,

Brian Desmond

MVP do Active Directory

Você precisa de RODCs quando tiver muitas filiais com pouca segurança física e / ou conectividade de rede lenta ou não confiável. Exemplos:

• Provedor médico com um escritório central e clínicas de loja que se deslocam com freqüência e usam DSL / Cable para conectividade
• Uma empresa com instalações em áreas remotas onde a infraestrutura de telecomunicações não é confiável ou onde você é forçado a usar redes de celular ou satélite.

A maioria das organizações possui padrões de segurança física para equipamentos remotos. Se você não puder atender a esses requisitos, os RODCs permitirão fornecer autenticação de alta velocidade para acesso a aplicativos locais e compartilhamentos de arquivos. Eles também permitem limitar o número de credenciais armazenadas no servidor. Um servidor comprometido compromete apenas os usuários no local remoto. Um controlador de domínio completo com 75.000 usuários expõe todos esses usuários no caso de um comprometimento local.

Se você trabalha em uma empresa menor, não é grande coisa. Estou entusiasmado em lançá-los com o BitLocker porque os RODC reduzem substancialmente o risco de segurança.

Vamos usar o RODC em uma DMZ baseada neste artigo do TechNet . Configurando uma nova floresta para serviços da web com um RODC na DMZ.

Principalmente por segurança, mas também por velocidade.

Veja a breve redação aqui

Um RODC contém uma cópia somente leitura do seu AD e você a usa em uma filial onde você não possui uma equipe de TI e, portanto, não pode garantir a segurança ou a integridade da sua sala de servidores. No caso de o RODC ser comprometido, você está seguro, sabendo que quem o comprometer terá acesso ao seu AD apenas no estado em que estava no momento da descoberta. Nenhuma alteração feita nela será replicada nos seus principais DCs. Isso significa que quem quer que o comprometa não pode fazer coisas desagradáveis, como se elevar ao administrador de domínio, bloquear seus próprios administradores e seguir seu caminho perverso com toda a sua rede.

Os RODCs são úteis para grandes empresas, serviços de diretório corporativo concorrentes, como o Novell eDirectory, possuem réplicas somente leitura há anos.

Outra vantagem dos RODCs é que eles permitem que você tenha controladores de domínio em funcionamento enquanto você faz alguma recuperação de desastre, que envolve a desativação de todos os controladores de domínio normais para reconstruir o diretório ativo. Você não precisa desativar os RODCs nessas situações.