Windows Server 2008 R2 引入唯讀網域控制器 (RODC)，專為實體安全性不足的分公司、邊緣網路、資料中心 DMZ 設計。RODC 完整複寫 AD 資料庫唯讀副本、SYSVOL 唯讀副本，並提供選擇性密碼快取、專屬 Kerberos TGT、篩選屬性集 (FAS) 等安全機制。部署前必須審慎規劃功能等級、應用程式相容性、密碼複寫策略 (PRP) 與網路連線依賴性。
核心特性
- 唯讀 AD 資料庫：不接受源頭寫入，僅從可寫 DC 入向複寫。
- 選擇性密碼快取：預設不快取任何密碼，透過 PRP 設定允許快取的帳號群組（如分公司使用者、電腦帳號）。
- 專屬 KRBTGT：每個 RODC 擁有獨立
krbtgt_ 帳號，遭入侵時僅影響該 RODC 發出的票證，不波及全域。
- 管理員角色分離：可委派本地管理員管理 RODC 作業系統，但不具備網域管理員權限。
- 單向複寫：減少 WAN 頻寬佔用，適合低速/不穩定連線環境。
部署前四大關鍵規劃
1. 功能等級與相容性
- 網域功能等級需 ≥ Windows Server 2008。
- 林功能等級需 ≥ Windows Server 2008。
- 所有可寫 DC 必須為 Server 2008 或更新版本。
- 應用程式相容性檢查：需支援唯讀 LDAP、不要求寫入 AD（如 Exchange 2010+、SharePoint 2010+ 支援；舊版 ERP/CRM 可能不支援）。
2. 密碼複寫策略 (PRP) 設計
- 建立「允許快取密碼」群組（如
RODC_Cache_Allowed_），加入分公司使用者、電腦帳號。
- 建立「拒絕快取密碼」群組（預設含 Domain Admins、Enterprise Admins、Schema Admins、Group Policy Creator Owners、Read-only Domain Controllers），確保高權限帳號密碼永不快取。
- 預先填充密碼：
repadmin /rodcpwdrepl <可寫DC> <允許群組>，避免首次登入等待跨 WAN 驗證。
3. 網路與防火牆需求
- RODC → 可寫 DC：TCP 88 (Kerberos)、389/636 (LDAP/SSL)、445 (SMB/SYSVOL)、135 (RPC)、49152-65535 (RPC 動態埠)。
- 用戶端 → RODC：同上埠號，僅供驗證/查詢。
- 防火牆需允許雙向 TCP 連線（複寫為 RODC 發起）。
4. 災難恢復與斷網操作
- 斷網期間：已快取密碼的使用者可登入；未快取者登入失敗；密碼變更、帳號解鎖、群組成員異動均失效。
- 建議：關鍵服務帳號（如 VPN、無線 AP 驗證）納入允許快取群組並預先填充。
- 監控：
repadmin /showrepl、事件檢視器 (Directory Service)、效能監視器 (NTDS) 持續監控複寫健康度。
典型部署拓撲
- 分公司：1-2 台 RODC + 本地 DNS/DHCP/檔案伺服器，WAN 連回總部可寫 DC。
- DMZ/邊緣網路：RODC 供 Web 應用程式、VPN、無線控制器查詢 AD，不暴露可寫 DC。
- 資料中心擴充林：跨林信任 + RODC 替代完整 DC，減少授權成本與攻擊面。
常見誤區
- 誤以為 RODC 可完全取代可寫 DC：寫入操作（建立使用者、修改 GPO、加入電腦網域）仍需連線可寫 DC。
- 忽略 PRP 導致分公司使用者斷網無法登入。
- 未預先填充密碼，首次大量登入造成 WAN 擁塞。
- 將 Domain Admins 加入允許快取群組，嚴重削弱 RODC 安全優勢。
