16、只读域控制器与Active Directory联合服务详解

只读域控制器与Active Directory联合服务详解

1. 只读域控制器（RODC）密码复制

每个RODC都会与一个可写域控制器配对，用于密码复制。部署RODC时，需在其复制伙伴上配置密码复制策略。当可写域控制器向RODC发送AD DS数据库信息时，用户账户信息会被复制，但不包含密码信息。可以配置哪些用户账户的密码被复制，这样能减少RODC被攻破时可能泄露的密码数量。

密码复制策略就像一个访问控制列表（ACL），指示哪些用户账户可以将其密码存储在RODC上。如果用户账户的密码存储在RODC上，该用户在首次登录RODC后，就可以从RODC登录域，而无需联系可写域控制器。首次登录时，RODC必须联系可写域控制器验证用户密码；用户更改密码时，RODC也必须再次联系可写域控制器，以便在AD DS数据库中记录更改后的密码。

可以指定将哪些用户的密码复制到单个RODC或域中的所有RODC。例如，在单个分支机构工作的用户，其密码可以复制到该分支机构的RODC；需要从任何分支机构访问网络的移动用户，其密码可以复制到域中的所有RODC。

每个RODC有以下两个用户账户列表：
- 允许列表 ：列出允许缓存密码的用户账户。默认情况下，此列表不包含任何用户。可以为域中的每个RODC手动配置不同的允许列表。通常，该列表包含RODC所在分支机构的用户。
- 拒绝列表 ：列出不允许缓存密码的用户账户。默认情况下，高安全性用户账户（如Domain Admins、Enterprise Admins和Schema Admins组的成员）包含在此列表中。

当用户尝试登录RODC