WindowsServer2008活动目录域服务实战(1).doc

Server2008活动目录域服务实战 前言Microsoft Windows Server 2008 Active Directory Domain Services (AD DS) 在不同的领域给用户带来了很多增强的特性。我们将具体介绍Windows Server 2008 Directory Services，以及它是如何结合Windows Server 2008特有的在安全和管理性方面的大量原则。Read-Only Domain Controller (RODC) 是Windows Server 2008中最大的特性并有拥有最强的增强。在Windows Server 2008过去的两年半时间内，大约有80%的开发资源是投入到RODC。RODC的特性是非常丰富和令人兴奋的。管理角色的分离允许管理员将管理权限指派给Read-Only DC级别的一些用户。这极大地减轻了拥有许多域管理员的负担并提高了安全性。Server Core和DC角色被显著地增强来大大地减少了服务器受攻击的层面。组策略有许多新特性和新设置，使用起来更容易，扩展了它的范围，并变的更加稳定。下面让我们浏览一下Windows Server 2008 Directory Services 的新特性和增强。安全的增强 Windows Server 2008中的活动目录域服务（AD DS）提供了安全领域的增强。在安全领域，只读域控制器（RODC）扮演了一个重要的角色。RODC为在那些地方部署域控制器提供了一个更安全的方法。它们要求快速、可靠和坚固的认证服务，但也有安全限制，如禁止部署可写域控制器。RODC主要设计用于部署在远程基础结构环境中。在这样的环境中一般有相对比较少的用户，物理安全比较薄弱，到中心站点的网络带宽比较少，以及很少的本地IT经验。域名称服务和域控制器，RODC，和完整DCs 支持活动目录Server Core角色。除了账号密码，RODC持有所有可写域控制器持有的AD DS对象和属性，但是不能对存储在RODC上副本做修改。更改必须在可写域控制器上进行，然后复制到 RODC上。这意味着分支机构的一个更改不可能影响或破坏整个森林。普通的标准也得到了提高，比如，可以显示用户用户最后一次使用密码的时间或最后一次登录的时间。审计也增加了新的类别。更改事件将告诉您旧的值是多少和新的值是多少。这将帮助IT管理员更容易地知道发生了什么和它是什么时候发生的。我们也对基于Windows Server 2008 的域控制器的可管理性、稳定性和支持性做了一些增强。增强的管理性就可管理性来说，对于DCPROMO用户接口和活动目录管理工具用户接口而言，有很多增强，对于活动目录用户和计算机控制台中的每个对象，包括一个ADSIEDIT属性页面作为一个新的属性栏被增加。这将使ADSIEDIT更加有用。另外，我们也为SYSVOL增强了DFRS（又成为FRS V2）。DFRS将用来复制SYSVOL数据。新的管理员角色分离只应用于RODC。目前，域中有太多的域管理员了。人们想做修复管理。通过对RODC管理角色的分离，您能够指派本地域或信任域的任何人登录到这台RODC，这个人就变成该RODC的本地管理员。对于RODC来说，委派的DCPROMO已经从那么要求本地管理员进行管理的DCPROMO操作中分离出来。在可支持性和稳定性下，对DNS做了许多增强。DCPROMO结合了自动配置DNS的新能力。DNS增强包含了一个新的定位器标记“尝试本地站点”，如果您不能找到一台DC，那么会基于站点成本在下一个最近的站点中尝试找一个DC。该增强将帮助应用程序开发者。只读域控制器回顾 接下面我们看一下只读域控制器。只读域控制器回顾我们对只读域控制器做了许多更改，下面我们将想您具体介绍这些细节。只读域控制器是Windows Server 2008中的一个新特性。只读域控制器的价值RODC主要目的是面向远程基础结构环境或边缘站点。缺省情况下，RODC没有任何密码。那样的话，如果RODC受到威胁，您没有必要担心有人能够访问您的整个网络中服务器上存储的信息。这弥补了远程分支机构安全不足的缺陷。因此对活动目录的威胁从根本上得到降低。RODC是一个从活动目录和文件复制服务（FRS）的单方向复制，处于只读状态。每个RODC有属于自己的密钥分发中心（KDC）KrbTGT账号-该账号用来颁发票据。这让我们隔离加密。RODC使用工作站帐户，因此它对活动目录拥有非常有限的写权限。这阻止了对您的IT组织的非授权访问。最后，大多书活动目录远程分支机构指南推荐在缺省情况下是启用的。RODC为在一个远程位置、extranet或面向应用角色的地方更加安全地部署域控制器提供了一个方法。RODC设计用于放在要求快速、可靠和坚固的认证服务，但也有安全限制，如禁止部署可写域控制器的地方。您也许要问自己部署RODC的前提条件是什么？部署RODC的先决条件我们尝试让部署RODC尽可能地简单，以便它们将工作在现有的环境中。对我们唯一的要求是Windows Server 2003 森林功能级别和一台运行Windows Server 2008的域控制器。该域控制器必须持有域的PDC模拟器操作主机来为RODC创建新的KrbTGT帐户。RODC需要转发认证请求给运行Windows Server 2008的域控制器。在该域控制器上设置的密码复制策略来决定凭据是否复制到分支机构为了来自RODC的转发请求。域功能级别必须为Windows Server 2003或以后，以便受限制的Kerberos委派是可用的。受限制的委派是为了在调用者上下文中需要被模仿的安全调用。森林功能级别必须是Windows Server 2003或以后，以便linked-value 复制是可用的，它提供了更高级别的复制一致性。不需要对DC或客户端做任何降级的修复。也不需要对域进行重新设计。我们推荐每个域有多个Windows Server 2008域控制器来平衡RODC复制。因为单方向复制和x64，您可能想合并桥头堡服务器，因为您不必担心来自上百个分支机构的串联复制。在同一个域的同一个站点中部署多个RODC是受支持的，因为同一站点的RODC之间不共享信息。因此，在同一个域的同一个站点中部署多个RODC会导致用户的不一致登录体验如果可写域控制器无法从网络上访问。为了从概念上了解RODC部署在哪个位置比较明智，将目录服务设想为一团云。将RODC合并到AD 设计中您的DCs分散在该云中，云的边缘代表您拥有的域能到达的最远的位置。总体上，云的边缘是安全边界-它是外围网络、或DMZ，带有敌对环境在另一边，或银行中一台位于接待员桌子上的物理服务器。我们想像目前RODC通过DMZs在边缘远程站点很好地工作，在将来通过Internet。让我们看看Windows Server 2008中RODC的一些特性。RODC 特性特性包括RODC全局编录用于支持Outlook 客户端和RODC保护用于高敏感凭据属性。这是因为活动目录变成一个应用程序存储它们的机密的安全存储。我们也消除了Windows Server 2008 PDC Flexible Single Master Operations（FSMO）的要求。也支持对RODC虚拟服务器镜像的意外操作。这意味着通过RODC，通过您没有复制标识，您能够及时回退两或三个月，并赶上复制。另外一个发展是LDAP写链接，在其中RODC将密码更改和Windows Server 2008主控制器链接起来。这意味着，在基于策略的网络访问世界中，我们能够开始想像谁可以和谁交谈。例如，也许您不想让您的客户端和一个全域控制器交谈。通过LDAP写链接，链接是允许的如果密码在RODC上。位于研究中的场景不在远程基础结构中，它们包括将RODC放置在外围网络或Extranet。这将允许Extranet森林的合并通过扩展公司森林到外围网络中。因此在将来，远程基础结构看起来更想外围网络环境。我们也在考虑将RODC放置在Internet上。这也意味着不管在哪里访问都不需要VPN。当然，这些特性不属于Windows Server 2008的一部分。RODC-to-RODC的复制是不包括的。如果您有多个RODC在一个域的同一个站点中，那么它们将完全忽略对方。Exchange 服务器不支持RODC 全局编录。让可写的Exchange 服务器紧位于域控制器的旁边不是一个好方法。我们也不包含只读的Active Directory Application Mode (ADAM) 对于Windows Server 2008。RODC检查的演示 下面让我们看一个演示。RODC检查的演示RODC主要是设计用来部署在那些分支机构环境中。分支机构一般有比较少的用户，物理安全比较薄弱，到中心站点的网络带宽比较少，以及有很少的本地IT经验和知识。在我们的场景中，我们定义了两个子网。我们的主域控制器位于主Seattle公司。Tacoma站点，分支机构，驻留一台只读域控制器，或RODC。如图1所示。为了支持RODC的特性并使监视密码复制变的更加容易，一个新的密码复制策略栏出现在域控制器的活动目录用户和计算机的属性页面上。如图2所示。除了帐户密码（除非专门配置过），RODC持有所有可写域控制器持有的AD DS对象和属性。然而，来自本地的更改不能对存储在RODC上副本生效。实际上，不能对存储在RODC上副本做修改。更改必须在可写域控制器上进行，然后复制到 RODC上。这阻止了分支结构的更改不会潜在地影响或损坏整个森林通过复制。因为没有更改直接写到RODC中，没有更改来自RODC。另外，是复制伙伴的可写域控制器也不会从RODC复制更改。这减少了位于中心的桥头堡服务器的负载和要求监视复制的努力。RODC单方向的复制应用到活动目录域服务和分布式文件系统（DFS）复制。RODC执行普通的入站复制为活动目录域服务和DFS复制更改。RODC不会存储用户或计算机凭据，除了它自己的计算机帐户和每个RODC用于Kerberos认证的帐户。密码复制策略决定凭据是否被允许复制和存储在RODC上。如果可以的话，可写域控制器发送凭据给RODC，然后RODC缓存它们。在凭据被缓存在RODC上后，下次用户尝试登录的时候，请求能直接被RODC服务直到凭据更改。通过限制凭据缓存只对那些已经经过RODC认证的用户，即使RODC受到攻击凭据潜在的泄露也是有限的。在缺省情况下，没有用户密码被缓存在RODC上，但是在大多数高效率的场景中那不是必须的。正常情况下，只有很少一部分用户需要将凭据缓存在指定的RODC上，与域中总的用户相比。您能够使用密码复制策略来指定哪些用户组能够被缓存。通过点击该栏上的Advanced按钮，您能够看到哪些密码已经发送到RODC，哪些存储在RODC上，如图3所示。哪些帐户已经经过RODC的认证，如图4所示。因为该列表包含已经经过认证的帐户，即使它们不在这些组之内被允许复制密码，您能够使用这些信息来决定哪些组应该包含在密码复制策略中。通过点击Add我们可以修改密码复制策略。我们要定义的第一件事情是我们是否允许或拒绝密码复制。如图5所示。接下来我们可以输入我们想允许或拒绝访问的一个用户，计算机或组。如图6所示。在 我们的场景中，我们保留了缺省的凭据缓存策略。让凭据缓存禁用可进一步限制泄露，但也将导致所有的认证请求将被转发到可写域控制器。因此，几乎在所有的环境中，为了获得由RODC提供的效率，您需要修改缺省的密码复制策略以便至少一些用户的凭据能够被缓存在它们的站点的本地RODC中。如果RODC被盗，您可能想重置所有缓存在RODC上的用户和计算机账号来阻止密码被破解。如果是那样的话，您可能想先导出要重置的账号的列表，从活动目录中删除RODC，然后通过活动目录重置密码。您能够通过活动目录用户和计算机接口来执行这些操作。如图7所示。因为这是一个RODC，您有重置所有缓存在RODC上的用户帐户的密码的选项。当该警告出现时，该操作将要求这些用户联系您的Help desk来获得一个新密码。如图8所示。您有重置所有缓存在RODC上的计算机帐户的密码的选项。您应该注意该操作将把这些计算机退出域，它们需要重新加入域。如图9所示。要导出缓存在RODC上的帐户的列表，选择导出缓存在RODC上的帐户的列表到文件的选项，然后点击Browse指定文件名称。您也允许删除RODC如果您连接到一个不是运行Windows Server 2008的可写域控制器。然而，您将不能导出帐户列表和 配置选项。管理员角色分离 接下来我们将介绍管理员角色分离。管理员角色分离管理员角色的分离是一个令人激动的特性，它帮助您更好地管理您的域控制器。角色分离在过去一直是一个问题。管理员角色分离解决