Windows Server 2008 introdujo controladores de dominio de solo lectura, que reciben una réplica completa de la base de datos del dominio pero no pueden modificarla, como un buen BDC de Windows NT.
Conozco todos los entresijos técnicos sobre cómo ejecutar esos semi-DC (acabo de aprobar 70-646 y 70-647), pero aún no tengo una respuesta clara a la pregunta más importante de todas: ¿por qué debería usarlos ?
Este comentario de TheCleaner realmente lo resume para mí:
@ Massimo: sí, tienes razón. Estás buscando una razón convincente para un RODC y no hay una. Tiene algunas características de seguridad adicionales para ayudar a aliviar la seguridad de la sucursal y realmente solo necesita implementarse allí si aún no tiene un DC allí y es anal sobre su seguridad.
Eso era lo mismo que estaba pensando ... un pequeño aumento en la seguridad, sí, claro, pero definitivamente no tanto para valer la molestia.
Tengo un capítulo completo sobre esta característica en mi libro (www.briandesmond.com/ad4/). En resumen, esta es una característica de seguridad y para las organizaciones distribuidas es un gran problema.
Aquí hay dos escenarios realmente grandes:
-> Los RODC no almacenan contraseñas por defecto. Esto significa que si alguien obtiene físicamente los discos del servidor, no obtendrá todas las contraseñas de usuario (y computadora).
La respuesta correcta si alguien roba un RWDC es restablecer TODAS las contraseñas en el dominio, ya que puede considerarlas todas comprometidas. Esta es una tarea importante.
Con un RODC puede decir que solo almacena en caché las contraseñas para el subconjunto X de usuarios y computadoras. Cuando el RODC realmente almacena en caché la contraseña, almacena esa información en AD. Si le roban el RODC, ahora tiene una pequeña lista de contraseñas que deben restablecerse.
-> Los RODC se replican en un sentido. Si alguien le robó RWDC, le hizo algunos cambios y lo conectó nuevamente, esos cambios se replicarían nuevamente en el entorno. Por ejemplo, podrían agregarse al grupo de administradores de dominio o restablecer todas las contraseñas de administrador o algo así. Con un RODC esto simplemente no es posible.
No hay mejora de velocidad a menos que esté colocando un RODC en una ubicación que no tenía un DC allí antes y luego es probable que haya una mejora de la velocidad en algunos escenarios.
La respuesta de TheCleaner es realmente incorrecta. Hay MUCHOS escenarios convincentes para los RODC y puedo pensar en varios despliegues de ellos a gran escala. Estas son cosas simples de seguridad, no las cosas "anal sobre seguridad".
Gracias,
Brian Desmond
MVP de Active Directory
fuente
Necesita RODC cuando tiene muchas sucursales con poca seguridad física y / o conectividad de red lenta o poco confiable. Ejemplos:
La mayoría de las organizaciones tienen estándares de seguridad física para equipos remotos. Si no puede cumplir con esos requisitos, los RODC le permiten proporcionar autenticación de alta velocidad para acceder a aplicaciones locales y archivos compartidos. También le permiten limitar la cantidad de credenciales almacenadas en el servidor. Un servidor comprometido solo compromete a los usuarios en la ubicación remota. Un DC completo con 75,000 usuarios expone a todos esos usuarios en caso de un compromiso local.
Si trabaja en una empresa más pequeña, no es gran cosa en absoluto. Estoy entusiasmado de implementarlos con BitLocker porque los RODC reducen sustancialmente el riesgo de seguridad.
fuente
Vamos a usar RODC en una DMZ basada en este artículo de TechNet . Configuración de un nuevo bosque para servicios web con un RODC en DMZ.
fuente
Principalmente por seguridad, pero también por velocidad.
Vea el breve escrito aquí
fuente
Un RODC contiene una copia de solo lectura de su AD y usted usa una en una sucursal donde no tiene personal de TI presente y, por lo tanto, no puede garantizar la seguridad o integridad de su sala de servidores. En caso de que el RODC se vea comprometido, usted está seguro sabiendo que quien lo comprometa solo tendrá acceso a su AD en el estado en que se encontraba al momento del descubrimiento. Ningún cambio realizado será replicado nuevamente a sus DC principales. Eso significa que quien lo comprometa no puede hacer cosas desagradables como elevarse a Administrador de dominio, bloquear a sus propios administradores y tener su manera perversa con toda su red.
fuente
Los RODC son útiles para las grandes organizaciones empresariales, ya que los servicios de directorio de la competencia, como Novell eDirectory, han tenido réplicas de solo lectura durante años.
fuente
Otra ventaja de los RODC es que le permitirán tener controladores de dominio en funcionamiento mientras realiza alguna recuperación ante desastres, lo que implica eliminar todos los controladores de dominio normales para reconstruir el directorio activo. No tiene que desactivar los RODC en esas situaciones.
fuente