התקנה וקביעת תצורה של בקר תחום לקריאה בלבד (RODC) ב- Windows Server 2019/2022

התכונה בקר תחום לקריאה בלבד (RODC) הוצגה לראשונה ב- Windows Server 2008. המטרה העיקרית של RODC היא התקנה מאובטחת של בקר תחום משלו בסניפים ומשרדים מרוחקים שבהם קשה לאבטח פיזית שרת תפקידים ADDS . ה- RODC מכיל עותק לקריאה בלבד של מסד הנתונים של Active Directory. משמעות הדבר היא שאף אחד לא יכול לשנות נתונים ב-AD (כולל איפוס סיסמת מנהל התחום) אפילו עם גישה פיזית למארח בקר התחום.

במאמר זה, נבחן כיצד להתקין בקר תחום חדש לקריאה בלבד בהתבסס על Windows Server 2022/2019 וכיצד לנהל אותו.

מהו בקר תחום לקריאה בלבד (RODC) ב- Active Directory?

להלן ההבדלים העיקריים של RODC מבקרי תחום נפוצים הניתנים לקריאה (RWDC):

  1. RODC שומר עותק לקריאה בלבד של מסד הנתונים AD. אז הלקוחות של בקר תחום זה לא יכול לבצע שינויים בו;

  2. ה- RODC אינו משכפל נתוני AD ותיקיית SYSVOL לבקרי תחום אחרים (RWDC), נעשה שימוש בשכפול חד-כיווני;

  3. ה-RODC שומר עותק מלא של מסד הנתונים של AD, למעט קודי hash של סיסמאות של אובייקטי AD וכמה תכונות אחרות המכילות מידע רגיש. קבוצת תכונות זו נקראת ערכת תכונות מסוננות (FAS). התכונות כמו ms-PKI-AccountCredentials, ms-FVE-RecoveryPassword, ms-PKI-DPAPIMasterKeys וכו 'כלולות בו. ניתן להוסיף תכונות אחרות לערכה זו, כגון סיסמאות מחשב המאוחסנות בטקסט ברור בתכונה ms-MCS-AdmPwd בעת שימוש ב- LAPS;

  4. אם ה-RODC מקבל בקשת אימות ממשתמש, הוא מעביר את הבקשה ל-RWDC;

  5. ה- RODC יכול לאחסן במטמון אישורים של משתמשים מסוימים (הוא מאיץ את האימות ומאפשר למשתמשים לבצע אימות בבקר התחום, גם אם אין חיבור ל- RWDC);

  6. באפשרותך לספק גישת ניהול ו- RDP ל- RODC למשתמשים שאינם מנהלי מערכת (לדוגמה, עבור SysOps הענף);

  7. שירות ה- DNS ב- RODC נמצא במצב קריאה בלבד.

דרישות לפריסת בקר תחום לקריאה בלבד.

  • יש להקצות IP סטטי בשרת;

  • יש להפוך את חומת האש של Windows ללא זמינה או לקבוע את תצורתה כראוי כדי להעביר תעבורה בין DCs ולקוחות;

  • יש לציין את RWDC הקרוב ביותר כשרת DNS;

  • באפשרותך להתקין את RODC הן בממשק המשתמש הגרפי המלא של Windows Server והן במהדורת Windows Server Core;

  • אין למקם את ה-RODC באותו אתר AD כמו ה-RWDC.

התקנת RODC באמצעות ממשק המשתמש הגרפי של Server Manager

פתח את מסוף Server Manager והוסף את התפקיד Active Directory Domain Services (מסכים להתקין את כל הרכיבים וכלי הניהול הנוספים).

בעת ציון ההגדרות עבור DC, סמן את האפשרות הוסף בקר תחום לתחום קיים, ציין את שם התחום ואת האישורים של חשבון המשתמש עם הרשאות מנהל התחום במידת הצורך.

ציין שיש להתקין את יכולות שרת ה- DNS, הקטלוג הכללי (GC) וה- RODC. לאחר מכן בחר אתר, שבו ימוקם הבקר החדש ואת הסיסמה כדי לגשת אליו במצב DSRM.

לאחר מכן, עליך לציין את המשתמש שאליו ברצונך להקצות גישה ניהולית לבקר התחום, ואת רשימת החשבונות/קבוצות, שהסיסמאות שלהם מותרות או מנועות מלשכפל ל- RODC (תוכל לעשות זאת מאוחר יותר).

ציין שניתן לשכפל נתוני מסד נתונים של AD מכל DC.

העתק מ ->

Any domain controller

לאחר מכן ציין את הנתיבים למסד הנתונים, ליומני הרישום ולתיקייה SYSVOL של NTDS (במידת הצורך, תוכל להעביר אותם לכונן אחר מאוחר יותר).

לאחר שבדקת את כל האפשרויות, באפשרותך להתקין את התפקיד מוסיף.

לחלופין, באפשרותך לפרוס את RODC באמצעות התכונה 'שלבים'. הוא מורכב מיצירה מראש של חשבון המחשב RODC במסוף ADUC והתקנה בסיסית. לשם כך, לחץ באמצעות לחצן העכבר הימני על הגורם המכיל של בקרי תחום ובחר צור מראש חשבון בקר תחום לקריאה בלבד.

בעת התקנת התפקיד ADDS בשרת בעל שם זהה, תופיע ההודעה הבאה:

A Pre-created RODC account that matches the name of the target server exists in the directory. Choose whether to use this existing RODC account or reinstall this domain controller.

בחר באפשרות השתמש בחשבון RODC קיים כדי להשתמש באובייקט RODC שנוצר מראש.

לאחר השלמת התקנת התפקיד והפעלה מחדש של השרת, תקבל בקר RODC. באפשרותך לבדוק את תקינות בקר התחום.

כאשר יישום ה- Snap-in של ADUC (

dsa.msc

) מתחבר ל- RODC, כל לחצני יצירת אובייקטי AD החדשים מעומעמים. כמו כן, לא ניתן לשנות את התכונות של אובייקטי AD בבקר תחום לקריאה בלבד. כל הפעולות האחרות במסוף Active Directory, כולל חיפוש, פועלות כרגיל.

פריסת DC לקריאה בלבד של Windows Server עם PowerShell

כדי לפרוס RODC חדש באמצעות PowerShell, עליך להתקין את התפקיד ADDS ואת מודול PowerShell ADDS :

Add-WindowsFeature AD-Domain-Services,RSAT-AD-AdminCenter,RSAT-ADDS-Tools

עכשיו אתה יכול להתקין את RODC:

Install-ADDSDomainController -ReadOnlyReplica -DomainName a-d.site -SiteName MUN_Branch1_RO_Site -InstallDns:$true -NoGlobalCatalog:$false

PowerShell משמש גם להתקנת בקר תחום לקריאה בלבד ב- Windows Server Core.

לאחר סיום ההתקנה, ה- cmdlet יבקש ממך להפעיל מחדש את השרת.

פרט את DCs בתחום שלך באמצעות cmdlet Get-ADDomainController ממודול Active Directory PowerShell:

Get-ADDomainController -Filter * | Select-Object Name,IsReadOnly

ערך התכונה IsReadOnly עבור בקר תחום לקריאה בלבד חייב להיות True.

כדי לפרט את כל רכיבי ה- RODC בתחום שלך, הפעל:

Get-ADDomainController -filter {IsReadOnly -eq $true}

אם ברצונך ליצור תחילה מראש חשבון RODC של תחום (פריסה בשלבים), השתמש בפקודה זו:

Add-ADDSReadOnlyDomainControllerAccount -DomainControllerAccountName MUN-RODC01 -DomainName a-d.site -DelegatedAdministratorAccountName "a-d\mbak" -SiteName MUN_Branch1_RO_Site

בעת קידום מארח Windows Server ל- DC, השתמש בפקודה:

Install-ADDSDomainController -DomainName a-d.site -Credential (Get-Credential) -LogPath "C:\Windows\NTDS" -SYSVOLPath "C:\Windows\SYSVOL" -ReplicationSourceDC "MUN-DC01.a-d.site" - UseExistingAccount

אין באפשרותך להשתמש ב- PowerShell כדי לשנות את התכונות של אובייקטי AD בעת התחברות ל- RODC. אם ברצונך לשנות את התכונות של אובייקט מאתר עם RODC, ציין את כתובת ה- RWDC הקרוב ביותר באמצעות הפרמטר -Server הזמין ברכיבי ה- cmdlet Set-ADUser, Set-ADComputer, New-ADUser וכן הלאה של PowerShell.

מדיניות שכפול סיסמאות RODC ואחסון אישורים במטמון

בכל RODC באפשרותך לציין רשימה של משתמשים, מחשבים ושרתים, שקודי hash של סיסמאות שלהם מורשים או מנועים מלשכפל לבקר תחום זה.

כל המחשבים, המשתמשים והשרתים שהסיסמאות שלהם מאוחסנות במטמון RODC יוכלו לבצע אימות לבקר תחום זה, גם אם אין חיבור ל- RWDC.

כברירת מחדל, נוצרות שתי קבוצות כלליות חדשות בתחום:

  • הקבוצה 'שכפול סיסמאות RODC מותר'

  • נדחתה קבוצת שכפול סיסמאות RODC

כברירת מחדל, הקבוצה הראשונה ריקה, והקבוצה השנייה מכילה קבוצות אבטחה מורשות, שלא ניתן לשכפל את הסיסמאות שלהן או לאחסן אותן במטמון ב- RODC כדי למנוע פגיעה בהן. כברירת מחדל, הקבוצות הבאות כלולות כאן:

  • בעלים של יוצרי מדיניות קבוצתית

  • מנהלי תחום

  • מוציאים לאור של Cert

  • מנהלי מערכת ארגוניים

  • מנהלי סכימה

  • חשבון krbtgt

  • מפעילי חשבונות

  • מפעילי שרתים

  • מפעילי גיבוי

הקבוצה RODC Password Replication Allowed כוללת בדרך כלל משתמשים במשרד הסניף שבו ממוקם RODC.

אם אתה פורס RODC מרובים בתחום, עדיף ליצור קבוצות כאלה עבור כל RODC. באפשרותך לאגד את הקבוצות ל- RODC בכרטיסיה מדיניות שכפול סיסמה של המקטע מאפייני שרת במסוף ADUC.

במדיניות שכפול סיסמאות מתקדמת עבור RODC_name, באפשרותך להציג:

  • חשבונות שהסיסמאות שלהם מאוחסנות בבקר תחום זה לקריאה בלבד - רשימה של משתמשים ומחשבים שהסיסמאות שלהם מאוחסנות במטמון ב-RODC זה

  • חשבונות שאומתו ל-DC-Only זה - רשימה של משתמשים ומחשבים המאומתים כעת באמצעות בקר תחום זה לקריאה בלבד

בכרטיסיה מדיניות תוצאות, באפשרותך לבחור חשבון משתמש ולבדוק אם הסיסמה שלו תאוחסן במטמון ב- RODC.

באפשרותך לנהל קבוצות RODC באמצעות PowerShell. פירוט משתמשים בקבוצת AD:

Get-ADGroupMember -Identity "Denied RODC Password Replication Group" | ft Name, ObjectClass

הוסף את כל המשתמשים הזמינים מיחידה ארגונית (OU) ספציפית של Active Directory לקבוצת RODC:

Get-ADUser -SearchBase 'OU=MUN_Branch1,DC=a-d,DC=com' -Filter {Enabled -eq "True"} | ForEach-Object {Add-ADGroupMember -Identity 'Allowed RODC Password Replication Group' -Members $_ -Confirm:$false }

כדי לאכלס מראש את מטמון סיסמת המשתמש מה- OU ל- RODC, השתמש בקובץ ה- script הבא של PowerShell:

$usrs = Get-ADUser -SearchBase 'OU= MUN_Branch1,DC=a-d,DC=com' -Filter {Enabled -eq "True"}
foreach ($usr in $usrs) {
Get-ADObject -identity $usr | Sync-ADObject -Source MUN-DC01 ‑Destination MUN-RODC1 -PasswordOnly
}

באפשרותך לפרט את המשתמשים והמחשבים שהסיסמאות שלהם נמצאות במטמון RODC:

Get-ADDomainControllerPasswordReplicationPolicyUsage -Identity MUN-RODC1 ‑RevealedAccounts

אין באפשרותך להסיר את הסיסמה עבור משתמש ספציפי ממטמון RODC. עם זאת, באפשרותך לבטל את תוקפו של מטמון זה על-ידי איפוס סיסמת המשתמש באמצעות יישום ה- Snap-in של ADUC או באמצעות ה- cmdlet Set-ADAccountPassword PowerShell.