只读域控制器（RODC）是专为边缘或安全受限场所设计的降权域控制器，仅缓存有限凭据、禁止写入AD数据库、使用独立账户隔离权限，并需预创建账户、设定密码复制策略后部署，适用于分支机构及托管环境。
只读域控制器（rodc）是 windows server 域环境中专为边缘位置或安全性受限场所设计的特殊域控制器角色，它不保存完整 active directory 数据库副本，仅缓存本地用户凭据和有限属性，从而显著降低物理失窃或未授权访问带来的域级风险。
RODC 的核心安全特性
RODC 通过多项机制实现“降权运行”，避免成为攻击者横向渗透的跳板：
- 只读数据库：无法直接写入 AD DS 数据库，所有写操作必须转发至可写 DC，有效防止恶意修改组策略、用户权限或架构配置。
- 凭据缓存可控：默认不缓存任何用户密码哈希；管理员可按需为特定用户或组启用密码缓存（如分支办公人员），且缓存记录可单独清理或设置过期时间。
- 委派账户隔离：RODC 使用独立的计算机账户（如 RODC01$），其密码由主 DC 生成并加密存储，即使 RODC 被攻破，也无法反向推导出其他域账户或域信任密钥。
- 管理员角色分离：支持“RODC 管理员”本地角色，该账户仅能在本机执行有限管理任务（如重启服务、查看事件日志），无权登录其他域控制器或执行域范围操作。
部署 RODC 的关键步骤
部署需在已有可写域控制器和合适网络连通性前提下进行，重点在于权限准备与缓存策略设定：
- 前置验证：确保林功能级别 ≥ Windows Server 2008；DNS 正常解析；目标服务器加入域并具备静态 IP；当前用户拥有“Domain Admins”或已获“RODC 安装权限”委托。
-
预创建 RODC 账户：在主 DC 上使用 Active Directory 用户和计算机 或 PowerShell（
Add-ADDSReadOnlyDomainControllerAccount）预先创建 RODC 计算机对象，并指定密码复制策略（允许哪些账户密码可被缓存）。 -
本地安装：在目标服务器上运行
dcpromo或使用 Server Manager → “添加角色和功能”，选择“只读域控制器”选项，指向预创建账户完成安装。安装过程自动禁用 NTDS 设置中的写入权限。 - 验证与监控：检查 repadmin /showrepl 确认同步状态；通过 nltest /dsgetdc:domainname /rodc 验证角色；定期审查 Directory Service 和 DNS Server 事件日志中与凭据缓存、复制失败相关的条目。
典型适用场景与注意事项
RODC 不是通用替代方案，适用于明确存在物理安全短板但又需本地身份验证能力的环境：
- 分支机构办公室：无专职 IT 人员，设备可能面临物理接触风险，但仍需支持用户登录、打印、文件共享等本地服务。
- 托管数据中心或合作伙伴场所：第三方运维团队可接触服务器硬件，但不应获得域控制权限。
- 注意限制：RODC 不支持 FSMO 角色；不能托管全局编录（除非显式启用，且仅限只读 GC）；不参与密码策略强制（如复杂度、历史记录），所有策略仍由可写 DC 执行；若与主 DC 长期断连，将无法处理新用户认证（除非已缓存其凭据）。
后续安全加固建议
部署完成后，应结合环境持续优化防护边界：
- 关闭 RODC 上非必要服务（如 Print Spooler、WMI 远程管理，除非业务必需）；
- 启用 Windows Defender 防病毒与基于信誉的防护，并定期更新；
- 配置防火墙规则，仅开放 LDAP（389）、LDAPS（636）、Kerberos（88）、DNS（53）等必需端口；
- 定期审计 Password Replication Policy 成员，移除不再需要缓存凭据的账户或组；
- 对 RODC 所在服务器启用 BitLocker 全盘加密，防范离线数据提取。
