O Windows Server 2008 introduziu controladores de domínio somente leitura, que recebem uma réplica completa do banco de dados do domínio, mas não podem modificá-lo, como um bom e antigo BDC do Windows NT.
Conheço todos os detalhes técnicos de como executar esses semi-CDs (acabei de passar de 70-646 e 70-647), mas ainda não tenho uma resposta clara para a pergunta mais importante de todas: por que você deveria usá-los ?
Este comentário do TheCleaner realmente resume para mim:
@ Massimo - sim, você está correto. Você está procurando um motivo convincente para um RODC e não há um. Ele possui alguns recursos de segurança adicionais para ajudar a aliviar a segurança das filiais e, na verdade, só precisa ser implantado lá se você não tiver um controlador de domínio lá e for anal sobre sua segurança.
Era o mesmo que eu estava pensando ... um pequeno aumento na segurança, sim, claro, mas definitivamente não muito para valer a pena.
Eu tenho um capítulo inteiro sobre esse recurso no meu livro (www.briandesmond.com/ad4/). O longo e curto disso é que esse é um recurso de segurança e, para organizações distribuídas, é um grande negócio.
Existem dois cenários realmente grandes aqui:
-> RODCs não armazenam senhas por padrão. Isso significa que se alguém obtém fisicamente os discos do servidor, eles não obtêm todas as senhas de usuário (e computador).
A resposta correta se alguém roubar um RWDC é redefinir TODAS as senhas no domínio, pois você pode considerá-las todas comprometidas. Esta é uma grande empresa.
Com um RODC, você pode dizer apenas que as senhas do subconjunto X de usuários e computadores são armazenadas em cache. Quando o RODC realmente armazena em cache a senha, ele armazena essas informações no AD. Se o RODC for roubado, você terá uma pequena lista de senhas que precisam ser redefinidas.
-> RODCs replicam unidirecionalmente. Se alguém roubasse sua RWDC, fizesse algumas alterações e a conectasse novamente, essas alterações seriam replicadas novamente no ambiente. Por exemplo, eles podem se adicionar ao grupo de administradores de domínio ou redefinir todas as senhas de administrador ou algo assim. Com um RODC, isso simplesmente não é possível.
Não há melhoria de velocidade, a menos que você esteja colocando um RODC em um local que não tinha um controlador de domínio lá antes e provavelmente haverá uma melhoria de velocidade em alguns cenários.
A resposta do The Cleaner está realmente incorreta. Existem muitos cenários convincentes para os RODCs e posso pensar em várias implantações deles em escala imediata. Isso é coisa simples de segurança, não a coisa "anal sobre segurança".
Obrigado,
Brian Desmond
MVP do Active Directory
fonte
Você precisa de RODCs quando tiver muitas filiais com pouca segurança física e / ou conectividade de rede lenta ou não confiável. Exemplos:
A maioria das organizações possui padrões de segurança física para equipamentos remotos. Se você não puder atender a esses requisitos, os RODCs permitirão fornecer autenticação de alta velocidade para acesso a aplicativos locais e compartilhamentos de arquivos. Eles também permitem limitar o número de credenciais armazenadas no servidor. Um servidor comprometido compromete apenas os usuários no local remoto. Um controlador de domínio completo com 75.000 usuários expõe todos esses usuários no caso de um comprometimento local.
Se você trabalha em uma empresa menor, não é grande coisa. Estou entusiasmado em lançá-los com o BitLocker porque os RODC reduzem substancialmente o risco de segurança.
fonte
Vamos usar o RODC em uma DMZ baseada neste artigo do TechNet . Configurando uma nova floresta para serviços da web com um RODC na DMZ.
fonte
Principalmente por segurança, mas também por velocidade.
Veja a breve redação aqui
fonte
Um RODC contém uma cópia somente leitura do seu AD e você a usa em uma filial onde você não possui uma equipe de TI e, portanto, não pode garantir a segurança ou a integridade da sua sala de servidores. No caso de o RODC ser comprometido, você está seguro, sabendo que quem o comprometer terá acesso ao seu AD apenas no estado em que estava no momento da descoberta. Nenhuma alteração feita nela será replicada nos seus principais DCs. Isso significa que quem quer que o comprometa não pode fazer coisas desagradáveis, como se elevar ao administrador de domínio, bloquear seus próprios administradores e seguir seu caminho perverso com toda a sua rede.
fonte
Os RODCs são úteis para grandes empresas, serviços de diretório corporativo concorrentes, como o Novell eDirectory, possuem réplicas somente leitura há anos.
fonte
Outra vantagem dos RODCs é que eles permitem que você tenha controladores de domínio em funcionamento enquanto você faz alguma recuperação de desastre, que envolve a desativação de todos os controladores de domínio normais para reconstruir o diretório ativo. Você não precisa desativar os RODCs nessas situações.
fonte