RODC部署需满足四项前置条件并严格配置PRP：森林/域功能级别≥2008、存在无复制错误的WDC、目标服务器已入域且DNS指向WDC、本地管理员临时属Domain Admins组；部署必须启用-ReadOnlyReplica:$true并用Enterprise Admins凭据；密码缓存需显式授权，高权限账户须禁用缓存，缓存清除需ntdsutil命令。

配置只读域控制器（rodc）增强分支机构安全性，核心在于限制数据写入能力、控制密码缓存范围，并确保部署环境符合最低安全基线。它不是简单安装一个dc，而是围绕“防失窃、防提权、防横向扩散”做系统性设计。

前置条件必须全部满足

RODC无法独立存在，所有部署失败几乎都源于这四项未验证：

• 森林和域功能级别 ≥ Windows Server 2008（Server 2003 不再支持新特性，如密码复制策略）
• 已有可写域控制器（WDC）且 repadmin /replsummary 显示无复制错误（尤其不能有 ERROR_ACCESS_DENIED 或 RPC server unavailable）
• 目标服务器已加入域，且 DNS 设置为指向 WDC（不能是自身、127.0.0.1 或公网DNS）
• 本地管理员账户临时属于 Domain Admins 组（部署完成后应立即移出）

部署时启用只读模式并指定凭据权限

图形化向导易漏选“只读”选项，推荐使用 PowerShell 命令行部署，关键参数不可省略：

• -ReadOnlyReplica:$true：这是唯一标识 RODC 的开关，缺省即部署为普通可写 DC
• -Credential (Get-Credential)：必须提供 Enterprise Admins 权限账户（非 Domain Admins，更非本地管理员）
• -Force:$true：跳过交互确认，但不跳过前置校验——校验失败仍报错退出，不会静默降级

部署后，RODC 的 AD 数据库、SYSVOL、DNS 区域均为只读，任何修改请求（如用户密码重置、OU 创建）都会自动转发至 WDC 处理。

严格配置密码复制策略（PRP）

默认情况下，RODC 不缓存任何用户密码哈希，所有认证需实时连接 WDC。网络中断即导致登录失败。因此必须显式定义哪些账号允许缓存：

• 在“Active Directory 用户和计算机”中，右键 RODC → “属性” → “密码复制策略”选项卡
• 将需要本地登录的普通用户或组（如 BranchUsers）添加到 Allowed RODC Password Replication Group
• 将高权限账户（如 Domain Admins、Enterprise Admins、Server Operators）强制加入 Denied RODC Password Replication Group（系统默认已包含 Domain Admins）
• 策略变更后需手动触发同步：repadmin /rodcpwdrepl <RODC名称> <WDC名称>，否则默认等待 1 小时复制周期

注意：一旦密码被缓存，即使后续从 Allowed 组中移除该用户，其哈希仍保留在 RODC 上，需执行 ntdsutil > “activate instance ntds” > “clear cache” 才能彻底清除。

配合其他安全机制形成纵深防御

RODC 单独使用效果有限，需与以下措施协同：

• 启用 Server Core 安装模式：减少 GUI 组件和攻击面，降低补丁频率与维护负担
• 关闭 Netlogon 写入端口（445）：RODC 默认不监听该端口，防火墙应显式禁止入站 445，防止 NTLM 中继攻击
• 配置专用 RODC 管理员委派：通过“RODC Password Replication Policy”选项卡中的“委派管理”功能，指定非特权账户（如 FBRODC-Admin）仅管理本 RODC，避免授予域级权限
• 物理/虚拟环境加固：若部署在分支机房，建议启用 BitLocker 加密系统盘；若为虚拟机，确保宿主机隔离、禁用剪贴板共享与拖放功能