Instalar y configurar un controlador de dominio de solo lectura (RODC) en Windows Server 2019/2022

La función de controlador de dominio de solo lectura (RODC) se introdujo por primera vez en Windows Server 2008. El propósito principal del RODC es la instalación segura del propio controlador de dominio en sucursales y oficinas remotas donde es difícil asegurar físicamente un servidor de función ADDS. El RODC contiene una copia de solo lectura de la base de datos de Active Directory. Esto significa que nadie puede cambiar los datos en AD (incluido el restablecimiento de la contraseña de administrador del dominio), incluso si tiene acceso físico al host del controlador de dominio.

En este artículo, veremos cómo instalar un nuevo controlador de dominio de solo lectura basado en Windows Server 2022/2019 y cómo administrarlo.

¿Qué es un controlador de dominio de solo lectura (RODC) en Active Directory?

Estas son las principales diferencias entre el RODC y los controladores de dominio comunes de lectura y escritura (RWDC)

1. El RODC mantiene una copia de solo lectura de la base de datos de AD. Por lo tanto, los clientes de este controlador de dominio no pueden realizar cambios en él;

2. El RODC no replica los datos de AD ni la carpeta SYSVOL en otros controladores de dominio (RWDC), se utiliza la replicación unidireccional;

3. El RODC mantiene una copia completa de la base de datos de AD, excepto los hashes de contraseña de los objetos de AD y algunos otros atributos que contienen información confidencial. Este conjunto de atributos se denomina Conjunto de atributos filtrados (FAS). Los atributos como ms-PKI-AccountCredentials, ms-FVE-RecoveryPassword, ms-PKI-DPAPIMasterKeys, etc. están incluidos en él. Puede agregar otros atributos a este conjunto, como contraseñas de computadora almacenadas en texto no cifrado en el atributo ms-MCS-AdmPwd al usar LAPS;

4. Si el RODC recibe una solicitud de autenticación de un usuario, reenvía la solicitud al RWDC;

5. El RODC puede almacenar en caché las credenciales de algunos usuarios (acelera la autenticación y permite que los usuarios se autentiquen en el controlador de dominio, incluso si no hay conexión con el RWDC);

6. Puede proporcionar acceso administrativo y RDP al RODC a los usuarios que no son administradores (por ejemplo, para la rama SysOps);

7. El servicio DNS en el RODC está en modo de solo lectura.

Requisitos para implementar el controlador de dominio de solo lectura.

• Se debe asignar una IP estática en el servidor;

• El Firewall de Windows debe estar deshabilitado o configurado correctamente para pasar el tráfico entre los DC y los clientes;

• El RWDC más cercano debe especificarse como el servidor DNS;

• Puede instalar RODC tanto en Windows Server Full GUI como en Windows Server Core edition;

• No debe colocar el RODC en el mismo sitio de AD que el RWDC.

Instalación de RODC mediante la interfaz gráfica de usuario de Server Manager

Abra la consola del Administrador del servidor y agregue la función Servicios de dominio de Active Directory (acuerde instalar todos los componentes y herramientas de administración adicionales).

Cuando especifique la configuración para el nuevo DC, marque la opción Agregar un controlador de dominio a un dominio existente, especifique el nombre de dominio y las credenciales de la cuenta de usuario con privilegios de administrador de dominio si es necesario.

Especifique que se deben instalar las capacidades del servidor DNS, el catálogo global (GC) y el RODC. Luego seleccione un sitio, donde se ubicará el nuevo controlador, y la contraseña para acceder a él en modo DSRM.

A continuación, debe especificar el usuario al que desea delegar el acceso administrativo al controlador de dominio y la lista de cuentas/grupos, cuyas contraseñas están permitidas o denegadas para la replicación en el RODC (puede hacerlo más adelante).

Especifique que los datos de la base de datos de AD se pueden replicar desde cualquier DC.

Replicar desde ->

Any domain controller

Luego, especifique las rutas a la base de datos NTDS, los registros y la carpeta SYSVOL (puede moverlos a otra unidad más tarde si es necesario).

Después de haber verificado todas las opciones, puede instalar el rol ADDS.

Como alternativa, puede implementar RODC mediante la función En etapas. Consiste en precrear la cuenta del equipo RODC en la consola ADUC y configuración básica. Para ello, haga clic con el botón derecho en el contenedor Controladores de dominio y seleccione Crear previamente una cuenta de controlador de dominio de solo lectura.

Al instalar el rol ADDS en un servidor con el mismo nombre, aparecerá el siguiente mensaje:

A Pre-created RODC account that matches the name of the target server exists in the directory. Choose whether to use this existing RODC account or reinstall this domain controller.

Seleccione la opción Usar cuenta RODC existente para usar el objeto RODC creado previamente.

Después de completar la instalación del rol y reiniciar el servidor, recibirá un controlador RODC. Puede comprobar el estado del controlador de dominio.

Cuando el complemento ADUC (

dsa.msc

) se conecta al RODC, todos los nuevos botones de creación de objetos AD están atenuados. Además, no puede cambiar los atributos de los objetos de AD en un controlador de dominio de solo lectura. Todas las demás acciones en la consola de Active Directory, incluida la búsqueda, funcionan como de costumbre.

Implementación de un controlador de dominio de solo lectura de Windows Server con PowerShell

Para implementar un nuevo RODC mediante PowerShell, debe instalar el rol ADDS y el módulo ADDS de PowerShell:

Add-WindowsFeature AD-Domain-Services,RSAT-AD-AdminCenter,RSAT-ADDS-Tools

Ahora puede instalar el RODC:

Install-ADDSDomainController -ReadOnlyReplica -DomainName a-d.site -SiteName MUN_Branch1_RO_Site -InstallDns:$true -NoGlobalCatalog:$false

Una vez finalizada la instalación, el cmdlet le pedirá que reinicie su servidor.

Enumere los DC en su dominio usando el cmdlet Get-ADDomainController del módulo Active Directory PowerShell:

Get-ADDomainController -Filter * | Select-Object Name,IsReadOnly

El valor del atributo IsReadOnly para un controlador de dominio de solo lectura debe ser True.

Para enumerar todos los RODC en su dominio, ejecute:

Get-ADDomainController -filter {IsReadOnly -eq $true}

Si desea crear previamente una cuenta RODC de dominio primero (implementación por etapas), use este comando:

Add-ADDSReadOnlyDomainControllerAccount -DomainControllerAccountName MUN-RODC01 -DomainName a-d.site -DelegatedAdministratorAccountName "a-d\mbak" -SiteName MUN_Branch1_RO_Site

Al promocionar un host de Windows Server a un DC, use el comando:

Install-ADDSDomainController -DomainName a-d.site -Credential (Get-Credential) -LogPath "C:\Windows\NTDS" -SYSVOLPath "C:\Windows\SYSVOL" -ReplicationSourceDC "MUN-DC01.a-d.site" - UseExistingAccount

Política de replicación de contraseñas de RODC y almacenamiento en caché de credenciales

En cada RODC, puede especificar una lista de usuarios, equipos y servidores, cuyos hash de contraseñas están autorizados o denegados para la replicación en este controlador de dominio.

De forma predeterminada, se crean dos nuevos grupos globales en el dominio:

• Grupo de replicación de contraseñas de RODC permitido

• Grupo de replicación de contraseñas de RODC denegado

De manera predeterminada, el primer grupo está vacío y el segundo contiene grupos de seguridad privilegiados, cuyas contraseñas no se pueden replicar ni almacenar en caché en el RODC para evitar que se vean comprometidas. De forma predeterminada, los siguientes grupos se incluyen aquí:

• Propietarios del creador de directivas de grupo

• Administradores de dominio

• Editores de certificados

• Administradores de empresas

• Administradores de esquema

• Cuenta krbtgt

• Operadores de cuenta

• Operadores de servidor

• Operadores de respaldo

El grupo de replicación de contraseñas de RODC permitida generalmente incluye usuarios en la sucursal donde se encuentra el RODC.

Si está implementando varios RODC en un dominio, es mejor crear dichos grupos para cada RODC. Puede vincular los grupos al RODC en la pestaña Política de replicación de contraseñas de la sección de propiedades del servidor en la consola ADUC.

En Política avanzada de replicación de contraseñas para RODC_name, puede ver:

• Cuentas cuyas contraseñas se almacenan en este controlador de dominio de solo lectura: una lista de usuarios y equipos cuyas contraseñas se almacenan en caché en este RODC

• Cuentas que se han autenticado en este DC de solo lectura: una lista de usuarios y computadoras actualmente autenticadas con este controlador de dominio de solo lectura

En la pestaña Política resultante, puede seleccionar una cuenta de usuario y verificar si su contraseña se almacenará en caché en el RODC.

Puede administrar grupos de RODC mediante PowerShell. Lista de usuarios en un grupo de AD:

Get-ADGroupMember -Identity "Denied RODC Password Replication Group" | ft Name, ObjectClass

Agregue todos los usuarios habilitados de una unidad organizativa (OU) específica de Active Directory al grupo RODC:

Get-ADUser -SearchBase 'OU=MUN_Branch1,DC=a-d,DC=com' -Filter {Enabled -eq "True"} | ForEach-Object {Add-ADGroupMember -Identity 'Allowed RODC Password Replication Group' -Members $_ -Confirm:$false }

Para completar previamente la memoria caché de la contraseña de usuario desde la unidad organizativa hasta el RODC, utilice el siguiente script de PowerShell:

$usrs = Get-ADUser -SearchBase 'OU= MUN_Branch1,DC=a-d,DC=com' -Filter {Enabled -eq "True"}
foreach ($usr in $usrs) {
Get-ADObject -identity $usr | Sync-ADObject -Source MUN-DC01 ‑Destination MUN-RODC1 -PasswordOnly
}

Puede enumerar los usuarios y equipos cuyas contraseñas están en la memoria caché de RODC:

Get-ADDomainControllerPasswordReplicationPolicyUsage -Identity MUN-RODC1 ‑RevealedAccounts

No puede eliminar la contraseña de un usuario específico de la memoria caché de RODC. Sin embargo, puede invalidar este caché al restablecer la contraseña del usuario a través del complemento ADUC o con el cmdlet de PowerShell Set-ADAccountPassword.