ติดตั้งและกำหนดค่า Read-Only Domain Controller (RODC) บน Windows Server 2019/2022

ฟีเจอร์ Read-Only Domain Controller (RODC) ถูกนำมาใช้ครั้งแรกใน Windows Server 2008 วัตถุประสงค์หลักของ RODC คือการติดตั้งโดเมนคอนโทรลเลอร์ของตัวเองในสาขาและสำนักงานระยะไกลที่ยากต่อการรักษาความปลอดภัยทางกายภาพของเซิร์ฟเวอร์บทบาท ADDS RODC มีสำเนาสำหรับอ่านอย่างเดียวของฐานข้อมูล Active Directory หมายความว่าไม่มีใครสามารถเปลี่ยนแปลงข้อมูลใน AD (รวมถึงการรีเซ็ตรหัสผ่านของโดเมนแอดมิน) แม้จะมีการเข้าถึงทางกายภาพไปยังโฮสต์โดเมนคอนโทรลเลอร์ก็ตาม

ในบทความนี้ เราจะดูวิธีติดตั้งโดเมนคอนโทรลเลอร์แบบ Read-Only ใหม่บน Windows Server 2022/2019 และวิธีจัดการมัน

Read-Only Domain Controller (RODC) ใน Active Directory คืออะไร?

นี่คือความแตกต่างหลักของ RODC จากโดเมนคอนโทรลเลอร์ทั่วไปที่อ่าน-เขียนได้ (RWDC)

1. RODC รักษาสำเนาสำหรับอ่านอย่างเดียวของฐานข้อมูล AD ดังนั้นไคลเอ็นต์ของโดเมนคอนโทรลเลอร์นี้จึงไม่สามารถทำการเปลี่ยนแปลงได้
2. RODC ไม่จำลอกข้อมูล AD และโฟลเดอร์ SYSVOL ไปยังโดเมนคอนโทรลเลอร์อื่น (RWDC) ใช้การจำลอกแบบหนึ่งทาง
3. RODC รักษาสำเนาเต็มของฐานข้อมูล AD ยกเว้นแฮชรหัสผ่านของออบเจ็กต์ AD และแอตทริบิวต์บางอย่างที่มีข้อมูลละเอียดอ่อน ชุดแอตทริบิวต์นี้เรียกว่า Filtered Attribute Set (FAS) รวมแอตทริบิวต์อย่าง ms-PKI-AccountCredentials, ms-FVE-RecoveryPassword, ms-PKI-DPAPIMasterKeys ฯลฯ คุณสามารถเพิ่มแอตทริบิวต์อื่นๆ ลงในชุดนี้ได้ เช่น รหัสผ่านคอมพิวเตอร์ที่เก็บเป็นข้อความคืนในแอตทริบิวต์ ms-MCS-AdmPwd เมื่อใช้ LAPS
4. หาก RODC ได้รับคำขอการตรวจสอบสิทธิ์จากผู้ใช้ มันจะส่งต่อคำขอไปยัง RWDC
5. RODC สามารถแคชข้อมูลประจำตัวของผู้ใช้บางส่วนได้ (เพิ่มความเร็วในการตรวจสอบสิทธิ์ และอนุญาตให้ผู้ใช้ตรวจสอบสิทธิ์บนโดเมนคอนโทรลเลอร์ได้ แม้จะไม่มีการเชื่อมต่อกับ RWDC)
6. คุณสามารถมอบสิทธิ์เข้าถึงการจัดการและ RDP ให้กับผู้ใช้ที่ไม่ใช่แอดมิน (เช่น SysOps ของสาขา)
7. บริการ DNS บน RODC ทำงานในโหมดอ่านอย่างเดียว

ข้อกำหนดในการปรับใช้ Read-Only Domain Controller

• ต้องกำหนด IP แบบคงที่บนเซิร์ฟเวอร์
• Windows Firewall ต้องปิดใช้งานหรือกำหนดค่าอย่างถูกต้องเพื่อให้トラフィคผ่านระหว่าง DCs และไคลเอ็นต์
• ต้องระบุ RWDC ใกล้ที่สุดเป็นเซิร์ฟเวอร์ DNS
• สามารถติดตั้ง RODC ได้ทั้งบน Windows Server Full GUI และ Windows Server Core edition
• ไม่ควรวาง RODC บนไซต์ AD เดียวกับ RWDC

การติดตั้ง RODC โดยใช้ Server Manager GUI

เปิดคอนโซล Server Manager และเพิ่มบทบาท Active Directory Domain Services (ยอมรับการติดตั้งส่วนประกอบเพิ่มเติมและเครื่องมือจัดการทั้งหมด)

เมื่อคุณระบุการตั้งค่าสำหรับ DC ใหม่ ให้ติ๊กตัวเลือก Add a domain controller to an existing domain ระบุชื่อโดเมน และข้อมูลประจำตัวบัญชีผู้ใช้ที่มีสิทธิ์โดเมนแอดมินหากจำเป็น

ระบุว่าต้องติดตั้งเซิร์ฟเวอร์ DNS, Global Catalog (GC) และความสามารถ RODC จากนั้นเลือกไซต์ที่คอนโทรลเลอร์ใหม่จะตั้งอยู่ และรหัสผ่านเพื่อเข้าถึงในโหมด DSRM

ต่อไป คุณต้องระบุผู้ใช้ที่ต้องการมอบสิทธิ์การจัดการโดเมนคอนโทรลเลอร์ และรายการบัญชี/กลุ่ม ที่รหัสผ่านได้รับอนุญาตหรือปฏิเสธการจำลอกไปยัง RODC (คุณสามารถทำได้ภายหลัง)

ระบุว่าข้อมูลฐานข้อมูล AD สามารถจำลอกจาก DC ใดก็ได้

Replicate from → Any domain controller

จากนั้นระบุพาธไปยังฐานข้อมูล NTDS, logs และโฟลเดอร์ SYSVOL (คุณสามารถย้ายไปไดรฟ์อื่นได้ภายหลังหากจำเป็น)

หลังจากตรวจสอบตัวเลือกทั้งหมดแล้ว คุณสามารถติดตั้งบทบาท ADDS ได้

ทางเลือกอื่น คุณสามารถปรับใช้ RODC โดยใช้ฟีเจอร์ Staged ซึ่งประกอบด้วยการสร้างบัญชีคอมพิวเตอร์ RODC ในคอนโซล ADUC ล่วงหน้าและการตั้งค่าพื้นฐาน เพื่อทำเช่นนี้ ให้คลิกขวาที่คอนเทนเนอร์ Domain Controllers และเลือก Pre-create a read-only domain controller account

เมื่อติดตั้งบทบาท ADDS บนเซิร์ฟเวอร์ที่มีชื่อเดียวกัน ข้อความต่อไปนี้จะปรากฏ:

A Pre-created RODC account that matches the name of the target server exists in the directory. Choose whether to use this existing RODC account or reinstall this domain controller.

เลือกตัวเลือก Use existing RODC account เพื่อใช้วัตถุ RODC ที่สร้างไว้ล่วงหน้า

หลังจากเสร็จสิ้นการติดตั้งบทบาทและรีสตาร์ทเซิร์ฟเวอร์ คุณจะได้คอนโทรลเลอร์ RODC คุณสามารถตรวจสอบสุขภาพของโดเมนคอนโทรลเลอร์ได้

เมื่อสแนปอิน ADUC (dsa.msc) เชื่อมต่อกับ RODC ปุ่มสร้างออบเจ็กต์ AD ใหม่ทั้งหมดจะเป็นสีเทา (greyed out) นอกจากนี้ คุณไม่สามารถเปลี่ยนแปลงแอตทริบิวต์ของออบเจ็กต์ AD บนโดเมนคอนโทรลเลอร์แบบอ่านอย่างเดียวได้ การกระทำอื่นๆ ในคอนโซล Active Directory รวมถึงการค้นหา ทำงานได้ตามปกติ

การปรับใช้ Windows Server Read-Only DC ด้วย PowerShell

เพื่อปรับใช้ RODC ใหม่ด้วย PowerShell คุณต้องติดตั้งบทบาท ADDS และโมดูล PowerShell ADDS:

Add-WindowsFeature AD-Domain-Services,RSAT-AD-AdminCenter,RSAT-ADDS-Tools

ตอนนี้คุณสามารถติดตั้ง RODC ได้:

Install-ADDSDomainController -ReadOnlyReplica -DomainName woshub.com -SiteName MUN_Branch1_RO_Site -InstallDns:$true -NoGlobalCatalog:$false

PowerShell ยังใช้สำหรับติดตั้ง Read-Only Domain Controller บน Windows Server Core

หลังจากการติดตั้งเสร็จสิ้น คำสั่ง cmdlet จะแจ้งให้รีสตาร์ทเซิร์ฟเวอร์ของคุณ

แสดงรายการ DCs ในโดเมนของคุณโดยใช้คำสั่ง Get-ADDomainController จากโมดูล PowerShell Active Directory:

Get-ADDomainController -Filter * | Select-Object Name,IsReadOnly

ค่าแอตทริบิวต์ IsReadOnly สำหรับโดเมนคอนโทรลเลอร์แบบอ่านอย่างเดียวต้องเป็น True

เพื่อแสดงรายการ RODC ทั้งหมดในโดเมนของคุณ ให้รัน:

Get-ADDomainController –filter {IsReadOnly –eq $true}

หากคุณต้องการสร้างบัญชีโดเมน RODC ล่วงหน้าก่อน (staged deployment) ให้ใช้คำสั่งนี้:

Add-ADDSReadOnlyDomainControllerAccount -DomainControllerAccountName MUN-RODC01 -DomainName woshub.com -DelegatedAdministratorAccountName "woshub\mbak" -SiteName MUN_Branch1_RO_Site

เมื่อโปรโมทโฮสต์ Windows Server เป็น DC ให้ใช้คำสั่ง:

Install-ADDSDomainController -DomainName woshub.com -Credential (Get-Credential) -LogPath "C:\Windows\NTDS" -SYSVOLPath "C:\Windows\SYSVOL" -ReplicationSourceDC "MUN-DC01.woshub.com" – UseExistingAccount

คุณไม่สามารถใช้ PowerShell เพื่อเปลี่ยนแปลงแอตทริบิวต์ของออบเจ็กต์ AD เมื่อเชื่อมต่อกับ RODC หากคุณต้องการเปลี่ยนแปลงแอตทริบิวต์ของออบเจ็กต์จากไซต์ที่มี RODC ให้ระบุที่อยู่ของ RWDC ใกล้ที่สุดโดยใช้พารามิเตอร์ –Server ที่มีในคำสั่ง Set-ADUser, Set-ADComputer, New-ADUser และอื่นๆ ของ PowerShell

นโยบายการจำลอกรหัสผ่าน RODC และการแคชข้อมูลประจำตัว

บน RODC แต่ละตัว คุณสามารถระบุรายการผู้ใช้ คอมพิวเตอร์ และเซิร์ฟเวอร์ ที่แฮชรหัสผ่านได้รับอนุญาตหรือปฏิเสธการจำลอกไปยังโดเมนคอนโทรลเลอร์นี้

คอมพิวเตอร์ ผู้ใช้ และเซิร์ฟเวอร์ทั้งหมดที่รหัสผ่านถูกเก็บในแคช RODC จะสามารถตรวจสอบสิทธิ์กับโดเมนคอนโทรลเลอร์นี้ได้ แม้จะไม่มีการเชื่อมต่อกับ RWDC

โดยค่าเริ่มต้น มีการสร้างกลุ่มกลobal สองกลุ่มใหม่ในโดเมน:

• Allowed RODC Password Replication Group
• Denied RODC Password Replication Group

โดยค่าเริ่มต้น กลุ่มแรกว่างเปล่า และกลุ่มที่สองมีกลุ่มความปลอดภัยที่มีสิทธิพิเศษ ซึ่งรหัสผ่านไม่สามารถจำลอกหรือแคชบน RODC ได้ เพื่อป้องกันไม่ให้ถูกทำลาย โดยค่าเริ่มต้น กลุ่มต่อไปนี้รวมอยู่ในนี้:

• Group Policy Creator Owners
• Domain Admins
• Cert Publishers
• Enterprise Admins
• Schema Admins
• Account krbtgt
• Account Operators
• Server Operators
• Backup Operators

กลุ่ม RODC Password Replication Allowed ปกติจะรวมผู้ใช้ที่สำนักงานสาขาที่ RODC ตั้งอยู่

หากคุณปรับใช้ RODC หลายตัวในโดเมน 最好为每个 RODC 创建此类组 您可以在 ADUC 控制台的服务器属性部分的 PasswordReplication Policy 选项卡中将组绑定到 RODC

บน Advanced Password Replication Policy for RODC_name คุณสามารถดู:

• Accounts whose passwords are stored on this Read-Only Domain Controller – รายการผู้ใช้และคอมพิวเตอร์ที่รหัสผ่านถูกแคชบน RODC นี้
• Accounts that have been authenticated to this Read-Only DC – รายการผู้ใช้และคอมพิวเตอร์ที่ตรวจสอบสิทธิ์กับโดเมนคอนโทรลเลอร์แบบอ่านอย่างเดียวนี้อยู่

บนแท็บ Resultant Policy คุณสามารถเลือกบัญชีผู้ใช้และตรวจสอบว่ารหัสผ่านของมันจะถูกแคชบน RODC หรือไม่

คุณสามารถจัดการกลุ่ม RODC โดยใช้ PowerShell แสดงรายการผู้ใช้ในกลุ่ม AD:

Get-ADGroupMember -Identity "Denied RODC Password Replication Group" | ft Name, ObjectClass

เพิ่มผู้ใช้ที่เปิดใช้งานทั้งหมดจาก Organizational Unit (OU) ของ Active Directory เฉพาะไปยังกลุ่ม RODC:

Get-ADUser -SearchBase 'OU=MUN_Branch1,DC=woshub,DC=com' -Filter {Enabled -eq "True"} | ForEach-Object {Add-ADGroupMember -Identity 'Allowed RODC Password Replication Group' -Members $_ -Confirm:$false }

เพื่อเติมแคชรหัสผ่านผู้ใช้จาก OU ไปยัง RODC ล่วงหน้า ให้ใช้สคริปต์ PowerShell ต่อไปนี้:

$usrs = Get-ADUser -SearchBase 'OU= MUN_Branch1,DC=woshub,DC=com' -Filter {Enabled -eq "True"}
foreach ($usr in $usrs) {
    Get-ADObject -identity $usr | Sync-ADObject -Source MUN-DC01 ‑Destination MUN-RODC1 -PasswordOnly
}

คุณสามารถแสดงรายการผู้ใช้และคอมพิวเตอร์ที่รหัสผ่านอยู่ในแคช RODC:

Get-ADDomainControllerPasswordReplicationPolicyUsage -Identity MUN-RODC1 ‑RevealedAccounts

คุณไม่สามารถลบรหัสผ่านสำหรับผู้ใช้เฉพาะจากแคช RODC ได้ อย่างไรก็ตาม คุณสามารถทำให้แคชนี้ไม่ถูกต้องได้โดยการรีเซ็ตรหัสผ่านของผู้ใช้ผ่านสแนปอิน ADUC หรือด้วยคำสั่ง PowerShell Set-ADAccountPassword