部署windows server 2008只读域控制器.doc

部署windows server 2008只读域控制器只读域控制器 (RODC) 是 Windows Server? 2008 操作系统中的一种新类型的域控制器。借助 RODC，组织可以在无法保证物理安全性的位置中轻松部署域控制器。RODC 承载 Active Directory(R) 域服务 (AD DS) 数据库的只读分区。RODC的作用？由于 RODC 是只读的，并且其他域控制器不从其进行复制，它们会出现一些异常的行为。例如，延迟对象（即，因为 DC 的复制时间不能长于林的生存周期，所以除了特殊的 DC，该类对象已从其他位置删除）通常由 DC 的出站复制伙伴检测。但是，由于 RODC 没有入站复制伙伴，因而它们不会检测延迟对象。如果林中其他域的用户试图向 RODC 验证，RODC 必须能够访问其所在域的完全 DC 来获取信任密码，以便将验证请求正确传递给用户域中的 DC。如果在其域中 RODC 和完全 DC 之间的网络连接不可用，验证将失败。RODC 提供了一种在要求快速、可靠的身份验证服务但不能确保可写域控制器的物理安全性的位置中更安全地部署域控制器的方法。但是，您的组织也可选择根据特殊管理要求部署 RODC。例如，行业 (LOB) 应用程序只有在安装在域控制器上的情况下，才可以成功运行。或者，域控制器可能是分支机构中唯一的服务器，并且可能必须承载服务器应用程序。在这种情况下，LOB 应用程序的所有者必须经常以交互方式登录到域控制器，或使用终端服务配置和管理应用程序。此情况产生了在可写域控制器上可能无法接受的安全风险。 RODC 为在此方案中部署域控制器提供了更安全的机制。您可以向非管理域用户授予登录到 RODC 的权限，同时最小化 Active Directory 林的安全风险。还可以在其他方案中部署 RODC。下面我就来部署一下windows server 2008只读域控制器，部署windows server 2008只读域控制器我选择了两台电脑，server1和server2，server1 为DNS服务器，域控制器，IP：0；server2为只读域控制器，IP：1，DNS：0注意：两台电脑的操作系统必须是windows server 2008操作系统一、查看林功能、与功能级别在server1计算机上操作。要保证林功能、与功能的级别是windows server 2003或windows server2003以上的级别。关于域的功能级别，可以参考这篇文章/u1/37091/showart_1844614.html如图打开“活动目录域和信任关系”右键单击域，选择“属性”我们这里林功能、域功能的级别是windows server2008的，满足要求了。如果功能级别没有达到要求，我们可以选择“提升域功能级别”来提升级别。二、复制文件“adprep”接下来将我们将windows 2008 安装光盘中sourcesadprep文件夹复制到架构主机，也就是server2上复制到server2的C盘根目录下就行三、执行adprep /rodcprep命令在server2上操作。下面在CMD命令下定位到复制过来的adprep文件夹，输入adprep /rodcprep命令。如图成功执行完成。运行 adprep /rodcprep命令来更新林中所有DNS目录分区上的权限，这样才能允许，RODC上的DNS服务器从现有林中的DNS复制命令执行完成后我们在C:Windowsdebugadpreplogs20090717231802 中的 ADPrep.log可以看见相关的日志记录四、安装只读域控制器同样在只读域控制器server2上进行操作。我们在开始运行中输入“Dcpromo”，然后回车进入活动目录域服务器安装向导点击下一步。“高级安全模式”，可以在安装过程中配置密码复制策略等，我们一般选择普通安装模式即可下一步选择“现有林”中的“向现有域添加域控制器”输入所在域中的域名，在指定一个用于执行安装的帐户凭据选择一个域选择一个站点这里我们勾选“全局编录”和“只读域控制器（RODC）”选择“是”继续下一步指定一个组，向组中添加各个用户。我们指定组名是“Domain Users”指定数据库、日志、SYSVOL文件的存储位置输入一个目录服务器还原模式密码，点击下一步开始配置域控制器Ok！正在配置域控制器成功配置完成，点击“完成”退出域服务器安装向导之后系统要求我们重启计算机。五、查看只读域控制器服务器重启完成后，我们在“开始”-“程序”-“管理工具”中打开“服务管理器”，如下图所示：我们在角色中可以看见有关活动目录的一些选项，在“Active D