(推薦)Windows網(wǎng)絡(luò)操作系統(tǒng)配置與管理單元二任務(wù)2：安裝RODC只讀域控制器

1、(推薦)windows網(wǎng)絡(luò)操作系統(tǒng)配置與管理單元二任務(wù)2：安裝rodc只讀域控制器windows 網(wǎng)絡(luò)操作系統(tǒng)的配置與管理單元一：安裝windows操作系統(tǒng)單元二：安裝與配置活動(dòng)目錄域服務(wù)單元三：管理用戶和組單元四：配置和管理組策略單元五：配置與管理分布式文件系統(tǒng)單元六：配置與管理存儲(chǔ)系統(tǒng)單元七：配置與管理打印服務(wù)器單元八：ip地址與配置方法單元九：配置與管理dhcp服務(wù)器單元十：配置與管理dns服務(wù)器單元十一：配置與管理web服務(wù)器 單元十二：配置與管理adcs單元十三：配置路由與遠(yuǎn)程訪問單元十四：配置網(wǎng)絡(luò)策略服務(wù)和網(wǎng)絡(luò)訪問保護(hù)單元二 安裝與配置活動(dòng)目錄域服務(wù)任務(wù)1 安裝活動(dòng)目錄域服務(wù)任務(wù)2

2、 安裝rodc只讀域控制器任務(wù)3 創(chuàng)建與管理組織單位任務(wù)2 安裝只讀域控制器一、課程導(dǎo)入二、知識(shí)原理 2.1 只讀域控制器 2.2 只讀域控制器的功能 2.3 準(zhǔn)備安裝 rodc 2.4 安裝 rodc 2.5 委派 rodc 安裝 2.6 密碼復(fù)制策略三、演習(xí) 安裝rodc只讀域控制器四、小結(jié)一、課程導(dǎo)入 在不安全的分支機(jī)構(gòu)配置dc可能的最大危險(xiǎn)是活動(dòng)目錄密碼方面的潛在的風(fēng)險(xiǎn)。由于windows 2000 server和windows server 2003中的ad域控制器為每一個(gè)用戶和計(jì)算機(jī)賬戶儲(chǔ)存密碼，因此，一旦windows 2000或windows 2003的域控制器受到威脅或被盜用

3、，管理員就需要重新設(shè)置每一個(gè)賬號(hào)密碼(有時(shí)還不止一次)。如何解決分支辦公室的安全呢？二、知識(shí)原理2.1 只讀域控制器2.2 只讀域控制器的功能2.3 準(zhǔn)備安裝 rodc2.4 安裝 rodc2.5 委派 rodc 安裝 2.6 密碼復(fù)制策略2.1 只讀域控制器 rodc：(read only dc）是windows server 2008支持的一種新的域控制器類型。rodc承載ad ds數(shù)據(jù)庫的只讀分區(qū)。借助 rodc,組織可以在無法保證物理安全性的位置中輕松部署域控制器，rodc將為用戶提供本地域控制器，從而確保即使在連接總部的廣域網(wǎng)鏈路不可用的情況下，仍然可登錄應(yīng)用組策略。 作用：作用：設(shè)

4、計(jì) rodc 主要是為了在分支機(jī)構(gòu)環(huán)境中部署。分支機(jī)構(gòu)通常用戶相對較少，物理安全性差，連接站點(diǎn)的網(wǎng)絡(luò)帶寬也相對較低，并且缺乏本地 it 知識(shí)。rodc單向復(fù)制雙向復(fù)制2.2 只讀域控制器的功能rodc 提供： 單向復(fù)制：減少了惡意用戶在分支位置所做的更改影響主域，同時(shí)減少分子負(fù)載 憑據(jù)緩存：默認(rèn)rodc不存儲(chǔ)用戶或計(jì)算機(jī)憑據(jù)，如果啟用可縮短用戶登錄 管理角色分離：將rodc本地管理員權(quán)限委派給用戶，可對rodc進(jìn)行維護(hù)。 只讀 dns：在確保安全情形下，提高分支機(jī)構(gòu)的域名解析效率 rodc 篩選的屬性集：可以為特殊應(yīng)用程序配置一組不會(huì)復(fù)制到rodc的屬性 2.3 準(zhǔn)備安裝 rodc安裝 rod

5、c 之前的必需步驟： 確保域和林為 windows server 2003 功能級(jí)別 確保運(yùn)行 windows server 2008 的可寫域控制器可用于復(fù)制域分區(qū) 運(yùn)行 adprep /rodcprep 使 rodc 能復(fù)制 dns 分區(qū) 如果 rodc 將作為全局編錄服務(wù)器，那么在所有域中運(yùn)行 adprep /domainprep 2.4 安裝 rodc 選擇在現(xiàn)有域中安裝其他域控制器的選項(xiàng) 1 如果要配置密碼復(fù)制策略，那么選擇高級(jí)模式安裝3 選擇從 active directory 域服務(wù)安裝向?qū)е邪惭b rodc 的選項(xiàng) 2 要在服務(wù)器核心安裝上安裝 rodc，可使用包含 replic

6、aornewdomain=readonlyreplica 值的無人參與安裝文件 2.5 委派 rodc 安裝 為了委派 rodc 安裝： 在 domain controllers 容器中預(yù)先創(chuàng)建 rodc 計(jì)算機(jī)賬戶 為用戶或組分配安裝 rodc 的權(quán)限 為了完成委派 rodc 安裝，附帶 /useexistingaccount:attach 開關(guān)運(yùn)行 dcpromo 如果不委派安裝管理，那么只有domain admins組或enterprise admins組的成員可以完成rodc的安裝。2.6 密碼復(fù)制策略 密碼復(fù)制策略決定了 rodc 如何為通過身份驗(yàn)證的用戶執(zhí)行憑據(jù)緩存 默認(rèn)情況下，r

7、odc 不緩存任何用戶憑據(jù)或計(jì)算機(jī)憑據(jù) 不緩存憑據(jù) 在 rodc 上為指定用戶啟用憑據(jù)緩存 配置密碼復(fù)制策略的選項(xiàng)：配置密碼復(fù)制策略的選項(xiàng)： 將用戶或組添加到“域 rodc 密碼復(fù)制允許的組”， 這樣憑據(jù)就可以緩存在所有 rodc 上 三、演示 安裝rodc只讀域控制器工作場景：工作場景： 你是時(shí)訊公司的網(wǎng)絡(luò)管理員，時(shí)訊公司在總部剛剛成立了一個(gè)分支辦公室，你計(jì)劃在分子辦公室安裝部署一臺(tái)只讀域控制器，域名為。實(shí)驗(yàn)環(huán)境：實(shí)驗(yàn)環(huán)境：shsvr1shdc1addns實(shí)驗(yàn)任務(wù)1.在ad中，預(yù)留rodc的計(jì)算機(jī)賬戶。2.以administrator身份登錄nycsvr1計(jì)算機(jī)3.修改計(jì)算機(jī)的名稱為：tor-dc4.設(shè)置sh-svr1計(jì)算機(jī)的網(wǎng)絡(luò)屬性： ip地址：10.10.0.40子網(wǎng)掩碼：255.255.0.0首選dns：10.10.0.105.運(yùn)行dcpromo /useexistingaccount:attach命令，創(chuàng)建只讀域控制器6