____ _ _ _ _
| _ \ ___ | |_ (_) _ __ ___ __| | (_) __ _
| |_) | / _ \ | __| | | | '_ \ / _ \ / _| | | | / _ |
| _ < | __/ | |_ | | | |_) | | __/ | (_| | | | | (_| |
|_| \_\ \___| \__| |_| | .__/ \___| \__,_| |_| \__,_|
|_|
- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b- `b
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
Read Only Domain Controller
──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
top
Der Read only Domain Controller (kurz RODC) ist ein Controllertyp im Domain-Controller-Konzept seit Windows Server 2008. Er stellt einen Domain Controller ohne Schreibberechtigung und ohne sicherheitsrelevante Daten dar. Er ist damit als Domain Controller in potenziell unsicheren Standorten nutzbar.cite-ref-msdn-bib-1-0[1]
Contents
──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
Kernfunktionalität
Der RODC stellt einen vollwertigen Domain Controller dar. Allerdings kann von diesem Controllertyp nur gelesen werden. Schreibende Zugriffe auf die Active Directory DS-Datenbank werden unterbunden.cite-ref-msdn-bib-1-1[1]
In der AD DS-Datenbank werden standardmäßig keine sicherheitskritischen Daten und Attribute hinterlegt (z. B. Kontokennwörter).cite-ref-msdn-bib-1-2[1]
Der Domain Controller kann nur unidirektional repliziert werden. Um Daten zu ändern, muss also der Domain Controller verändert werden, von welchem aus der RODC repliziert wird.cite-ref-msdn-bib-1-3[1]
Für die Administration des RODC können eigene Rollen vergeben werden, somit ist die administrative Wartung delegierbar. Zusätzlich verfügt der RODC über einen schreibgeschützten DNS.cite-ref-msdn-bib-1-4[1]
Um den RODC zusätzlich abzusichern, können Attribute von der Replikation ausgeschlossen werden.cite-ref-msdn-bib-1-5[1]
Anwendungsgebiete
Der RODC ist konzipiert, um in Einheiten mit niedriger Sicherheitsstufe (z. B. Zweigstellen, kleine Außenbüros) eingesetzt zu werden. Durch das Rollenmodell und den verringerten Administrationsaufwand gegenüber einem vollwertigen Domain Controller muss deshalb kein oder wenig IT-Know-how vor Ort gebunden werden. Durch das physische Vorhandensein eines Domain Controller vor Ort bei über WAN angebundenen Standorten wird die Zugriffsgeschwindigkeit auf Ressourcen (z. B. eine Netzwerk-Freigabe für Dateien) verbessert.
Ein weiteres Szenario für den Einsatz ist eine Serversoftware, die am physisch identischen Ort einen Domain Controller benötigt. Auch hier wird der Mehrwert bei der niedrigeren Administrationsarbeit und der erhöhten Sicherheit angesetzt.cite-ref-msdn-bib-1-6[1]
Einzelnachweise