Windows Server 2008 Active Directory 改進：唯讀網域控制站 (RODC) 完整架構與部署指南

RODC (Read-Only Domain Controller) 是 Windows Server 2008 全新角色，解決分公司/邊緣環境「物理安全不足、頻寬差、無專職 IT」三大痛點。本文系統整理 RODC 核心機制與部署考量。

部署前提

• 網域至少一台 WS2008 可寫入 DC。
• 網域/樹系功能等級 ≥ Windows Server 2003。

五大核心機制

1. 唯讀 AD 資料庫

• 除帳號密碼外，擁有完整物件與屬性。
• 任何資料變更必須在可寫入 DC 執行，再單向複寫回 RODC。
• LDAP 寫入請求回傳「Referral」導向可寫入 DC。

2. RODC 篩選屬性集 (Filtered Attribute Set)

• 動態設定不複寫至 RODC 的敏感屬性 (密碼、信任憑證、加密金鑰)。
• 系統關鍵屬性 (schemaFlagsEx=1) 禁止加入篩選集。
• 樹系功能等級必須為 WS2008，否則舊版 DC 可能接受惡意 RODC 複寫請求。

3. 單向複寫

• 無屬性直接寫入 RODC，故無出站複寄，可寫入 DC 不會「拉取」 RODC 資料。
• 惡意操作不會外洩至樹系其餘部分。
• 同時套用於 AD DS 與 DFS-R。

4. 憑證快取

• 預設不快取使用者/電腦憑證 (僅保留自身電腦帳號與專屬 krbtgt)。
• 驗證成功時向樞紐 DC 請求憑證，依「密碼複寫原則」決定是否快取。
• 快取後 RODC 直接服務登入請求 (使用自身 krbtgt 簽署 TGT)。
• 洩露風險僅限已快取帳號，大幅縮小攻擊面。

5. 管理員角色分離

• 可委派本機管理權限給分公司一般使用者 (升級驅動、修補等)，不授予網域/ DC 權限。
• 分離「伺服器管理」與「目錄管理」權責。

6. 唯讀 DNS

• 複寫 ForestDnsZones、DomainDnsZones 等 AD 整合區域。
• 不支援用戶端動態更新，回傳可更新的 DNS 伺服器參考。
• 背景以「單一物件複寫」同步更新記錄，不複寫整個區域。

部署效益總結

RODC 讓企業能安心在邊緣環境部署網域控制站，是分公司/零售據點/外延網路的理想選擇。