Windows Server 2008 R2 唯讀網域控制器 (RODC) 規劃與部署全攻略

針對實體安全性不足的遠端分公司或周邊網路，Windows Server 2008/R2 推出唯讀網域控制器 (RODC)，攜帶 AD 資料庫完整唯讀副本、SYSVOL 唯讀副本與篩選屬性集 (FAS)，預設不快取認證，可選擇性啟用密碼複寫原則 (PRP) 快取特定帳號密碼。

核心優勢

• 安全性：專屬 Kerberos TGT 帳戶防禦票據攻擊，洩露風險可控
• 可管理性：簡化分公司架構，降低總擁有成本 (TCO)
• 延展性：適合中心-輻射拓撲、低頻寬/不可靠連線、缺乏專職 IT 人員的分公司

部署前關鍵考量

應用程式相容性

• 需讀取 AD 的應用程式通常相容
• 需寫入權限的應用程式可能失效
• 寫入操作轉發至可寫 DC，依賴網路連線；斷線時寫入失敗
• 讀取效能、寫入-讀取-返回流程、一般應用程式錯誤風險

身分驗證與密碼管理

• 密碼未快取或過期、帳號鎖定：斷線時無法驗證/解鎖/變更密碼
• 需透過 PRP 預先快取密碼，並確保與可寫 DC 連線暚通

適用場景

• 現無 DC 的分公司或周邊網路
• 現有 DC 需升級/替換的環境
• 資料中心周邊網路需 AD 服務但受安全限制

RODC 非萬靈丹，部署前必須評估應用程式相依性、網路可靠度與 SLA 需求，並完成完整測試驗證。