रीड-ओनली डोमेन कंट्रोलर (RODC) फीचर पहली बार Windows Server 2008 में पेश किया गया था। RODC का मुख्य उद्देश्य रिमोट ब्रांचेज और ऑफिसेज में खुद के डोमेन कंट्रोलर की सुरक्षित इंस्टॉलेशन है जहां ADDS भूमिका सर्वर को भौतिक रूप से सुरक्षित करना मुश्किल है। RODC में Active Directory डेटाबेस की रीड-ओनली कॉपी होती है। इसका मतलब है कि कोई भी AD में डेटा नहीं बदल सकता (डोमेन एडमिन पासवर्ड रीसेट सहित) भले ही डोमेन कंट्रोलर होस्ट तक भौतिक पहुंच हो।
इस लेख में, हम देखेंगे कि Windows Server 2022/2019 पर आधारित एक नया रीड-ओनली डोमेन कंट्रोलर कैसे इंस्टॉल करें और इसे कैसे मैनेज करें।
Active Directory में रीड-ओनली डोमेन कंट्रोलर (RODC) क्या है?
यहाँ सामान्य रीड-राइटेबल डोमेन कंट्रोलर्स (RWDC) से RODC के मुख्य अंतर हैं:
- RODC AD डेटाबेस की रीड-ओनली कॉपी रखता है। इसलिए इस डोमेन कंट्रोलर के क्लाइंट्स इसमें बदलाव नहीं कर सकते;
- RODC AD डेटा और SYSVOL फ़ोल्डर को अन्य डोमेन कंट्रोलर्स (RWDC) में रेप्लिकेट नहीं करता, एक-तरफा रेप्लिकेशन उपयोग किया जाता है;
- RODC AD डेटाबेस की पूरी कॉपी रखता है सिवाय AD ऑब्जेक्ट्स के पासवर्ड हैश और कुछ अन्य एट्रिब्यूट्स के जिनमें संवेदनशील जानकारी होती है। एट्रिब्यूट्स का यह सेट Filtered Attribute Set (FAS) कहलाता है। इसमें ms-PKI-AccountCredentials, ms-FVE-RecoveryPassword, ms-PKI-DPAPIMasterKeys आदि जैसे एट्रिब्यूट्स शामिल हैं। आप इस सेट में अन्य एट्रिब्यूट्स जोड़ सकते हैं, जैसे LAPS का उपयोग करते समय ms-MCS-AdmPwd एट्रिब्यूट में क्लियरटेक्स्ट में स्टोर कंप्यूटर पासवर्ड;
- यदि RODC को किसी उपयोगकर्ता से प्रमाणीकरण अनुरोध प्राप्त होता है, तो वह अनुरोध को RWDC को फॉरवर्ड करता है;
- RODC कुछ उपयोगकर्ताओं के क्रेडेंशियल्स को कैश कर सकता है (यह प्रमाणीकरण को गति देता है और उपयोगकर्ताओं को डोमेन कंट्रोलर पर प्रमाणित करने की अनुमति देता है, भले ही RWDC से कोई कनेक्शन न हो);
- आप गैर-एडमिन उपयोगकर्ताओं (उदाहरण के लिए, ब्रांच SysOps) को RODC पर एडमिनिस्ट्रेटिव और RDP एक्सेस प्रदान कर सकते हैं;
- RODC पर DNS सर्विस रीड-ओनली मोड में होती है।
रीड-ओनली डोमेन कंट्रोलर डिप्लॉय करने की आवश्यकताएं।
- सर्वर पर एक स्टेटिक IP असाइन किया जाना चाहिए;
- Windows Firewall को अक्षम या सही ढंग से कॉन्फ़िगर किया जाना चाहिए ताकि DCs और क्लाइंट्स के बीच ट्रैफिक पास हो सके;
- निकटतम RWDC को DNS सर्वर के रूप में निर्दिष्ट किया जाना चाहिए;
- आप RODC को Windows Server Full GUI और Windows Server Core दोनों संस्करणों पर इंस्टॉल कर सकते हैं;
- आपको RODC को RWDC के समान AD साइट पर नहीं रखना चाहिए।
Server Manager GUI का उपयोग करके RODC इंस्टॉल करना
Server Manager कंसोल खोलें और Active Directory Domain Services भूमिका जोड़ें (सभी अतिरिक्त घटकों और प्रबंधन टूल्स को इंस्टॉल करने के लिए सहमत हों)।
नए DC के लिए सेटिंग्स निर्दिष्ट करते समय, Add a domain controller to an existing domain विकल्प चेक करें, डोमेन नाम निर्दिष्ट करें और यदि आवश्यक हो तो डोमेन एडमिनिस्ट्रेटर विशेषाधिकारों वाले उपयोगकर्ता खाते के क्रेडेंशियल्स।
निर्दिष्ट करें कि DNS सर्वर, ग्लोबल कैटलॉग (GC), और RODC क्षमताएं इंस्टॉल की जानी चाहिए। फिर उस साइट का चयन करें जहां नया कंट्रोलर स्थित होगा, और DSRM मोड में इसे एक्सेस करने का पासवर्ड।
अगला, आपको उस उपयोगकर्ता को निर्दिष्ट करने की आवश्यकता है जिसे आप डोमेन कंट्रोलर पर एडमिनिस्ट्रेटिव एक्सेस देना चाहते हैं, और उन खातों/ग्रुप्स की सूची जिनके पासवर्ड्स को RODC पर रेप्लिकेट करने की अनुमति है या अस्वीकार किया गया है (आप इसे बाद में भी कर सकते हैं)।
निर्दिष्ट करें कि AD डेटाबेस डेटा किसी भी DC से रेप्लिकेट किया जा सकता है।
Replicate from -> Any domain controller
फिर NTDS डेटाबेस, लॉग्स, और SYSVOL फ़ोल्डर के पथ निर्दिष्ट करें (यदि आवश्यक हो तो आप उन्हें बाद में किसी अन्य ड्राइव पर ले जा सकते हैं)।
सभी विकल्पों की जांच करने के बाद, आप ADDS भूमिका इंस्टॉल कर सकते हैं।
वैकल्पिक रूप से, आप Staged फीचर का उपयोग करके RODC डिप्लॉय कर सकते हैं। इसमें ADUC कंसोल में RODC कंप्यूटर अकाउंट को पूर्व-निर्मित करना और बुनियादी सेटअप शामिल है। ऐसा करने के लिए, Domain Controllers कंटेनर पर राइट-क्लिक करें और Pre-create a read-only domain controller account चुनें।
उसी नाम वाले सर्वर पर ADDS भूमिका इंस्टॉल करते समय, निम्न संदेश दिखाई देगा:
A Pre-created RODC account that matches the name of the target server exists in the directory. Choose whether to use this existing RODC account or reinstall this domain controller.
Use existing RODC account विकल्प चुनें ताकि पूर्व-निर्मित RODC ऑब्जेक्ट का उपयोग किया जा सके।
भूमिका इंस्टॉलेशन पूरा होने और सर्वर रीस्टार्ट होने के बाद, आपको एक RODC कंट्रोलर प्राप्त होगा। आप डोमेन कंट्रोलर के स्वास्थ्य की जांच कर सकते हैं।
जब ADUC स्नैप-इन (dsa.msc) RODC से कनेक्ट होता है, तो सभी नए AD ऑब्जेक्ट बनाने के बटन ग्रे आउट हो जाते हैं। साथ ही, आप रीड-ओनली डोमेन कंट्रोलर पर AD ऑब्जेक्ट्स के एट्रिब्यूट्स नहीं बदल सकते। Active Directory कंसोल में अन्य सभी क्रियाएं, खोज सहित, हमेशा की तरह काम करती हैं।
PowerShell के साथ Windows Server रीड-ओनली DC डिप्लॉय करना
PowerShell का उपयोग करके एक नया RODC डिप्लॉय करने के लिए, आपको ADDS भूमिका और PowerShell ADDS मॉड्यूल इंस्टॉल करने की आवश्यकता है:
Add-WindowsFeature AD-Domain-Services,RSAT-AD-AdminCenter,RSAT-ADDS-Tools
अब आप RODC इंस्टॉल कर सकते हैं:
Install-ADDSDomainController -ReadOnlyReplica -DomainName woshub.com -SiteName MUN_Branch1_RO_Site -InstallDns:$true -NoGlobalCatalog:$false
PowerShell का उपयोग Windows Server Core पर रीड-ओनली डोमेन कंट्रोलर इंस्टॉल करने के लिए भी किया जाता है।
इंस्टॉलेशन पूरा होने के बाद, cmdlet आपको अपने सर्वर को रीस्टार्ट करने के लिए प्रेरित करेगा।
Active Directory PowerShell मॉड्यूल से Get-ADDomainController cmdlet का उपयोग करके अपने डोमेन में DCs की सूची बनाएं:
Get-ADDomainController -Filter * | Select-Object Name,IsReadOnly
रीड-ओनली डोमेन कंट्रोलर के लिए IsReadOnly एट्रिब्यूट मान True होना चाहिए।
अपने डोमेन में सभी RODCs सूचीबद्ध करने के लिए, चलाएं:
Get-ADDomainController –filter {IsReadOnly –eq $true}
यदि आप पहले डोमेन RODC अकाउंट को पूर्व-निर्मित करना चाहते हैं (स्टेज्ड डिप्लॉयमेंट), तो इस कमांड का उपयोग करें:
Add-ADDSReadOnlyDomainControllerAccount -DomainControllerAccountName MUN-RODC01 -DomainName woshub.com -DelegatedAdministratorAccountName "woshub\mbak" -SiteName MUN_Branch1_RO_Site
Windows Server होस्ट को DC में प्रमोट करते समय, कमांड का उपयोग करें:
Install-ADDSDomainController -DomainName woshub.com -Credential (Get-Credential) -LogPath "C:\Windows\NTDS" -SYSVOLPath "C:\Windows\SYSVOL" -ReplicationSourceDC "MUN-DC01.woshub.com" – UseExistingAccount
आप RODC से कनेक्ट होने पर PowerShell का उपयोग करके AD ऑब्जेक्ट्स के एट्रिब्यूट्स नहीं बदल सकते। यदि आप RODC वाली साइट से किसी ऑब्जेक्ट के एट्रिब्यूट्स बदलना चाहते हैं, तो Set-ADUser, Set-ADComputer, New-ADUser, आदि PowerShell cmdlets में उपलब्ध –Server पैरामीटर का उपयोग करके निकटतम RWDC का पता निर्दिष्ट करें।
RODC पासवर्ड रेप्लिकेशन पॉलिसी और क्रेडेंशियल कैशिंग
प्रत्येक RODC पर आप उपयोगकर्ताओं, कंप्यूटर्स, और सर्वर्स की सूची निर्दिष्ट कर सकते हैं जिनके पासवर्ड हैश को इस डोमेन कंट्रोलर पर रेप्लिकेट करने की अनुमति है या अस्वीकार किया गया है।
वे सभी कंप्यूटर्स, उपयोगकर्ता, और सर्वर जिनके पासवर्ड RODC कैश में स्टोर हैं, इस डोमेन कंट्रोलर पर प्रमाणित करने में सक्षम होंगे, भले ही RWDC से कोई कनेक्शन न हो।
डिफ़ॉल्ट रूप से, डोमेन में दो नए ग्लोबल ग्रुप बनाए जाते हैं:
- Allowed RODC Password Replication Group
- Denied RODC Password Replication Group
डिफ़ॉल्ट रूप से, पहला ग्रुप खाली होता है, और दूसरा विशेषाधिकार प्राप्त सुरक्षा ग्रुप्स को समाहित करता है जिनके पासवर्ड्स को RODC पर रेप्लिकेट या कैश नहीं किया जा सकता ताकि उन्हें समझौता होने से बचाया जा सके। डिफ़ॉल्ट रूप से, निम्नलिखित ग्रुप्स यहाँ शामिल हैं:
- Group Policy Creator Owners
- Domain Admins
- Cert Publishers
- Enterprise Admins
- Schema Admins
- Account krbtgt
- Account Operators
- Server Operators
- Backup Operators
RODC Password Replication Allowed ग्रुप में आमतौर पर उस ब्रांच ऑफिस के उपयोगकर्ता शामिल होते हैं जहां RODC स्थित है।
यदि आप डोमेन में कई RODCs डिप्लॉय कर रहे हैं, तो प्रत्येक RODC के लिए ऐसे ग्रुप्स बनाना सबसे अच्छा है। आप ADUC कंसोल में सर्वर गुण अनुभाग के PasswordReplication Policy टैब में ग्रुप्स को RODC से बांध सकते हैं।
Advanced Password Replication Policy for RODC_name पर, आप देख सकते हैं:
- Accounts whose passwords are stored on this Read-Only Domain Controller – इस RODC पर कैश्ड पासवर्ड वाले उपयोगकर्ताओं और कंप्यूटर्स की सूची
- Accounts that have been authenticated to this Read-Only DC– वर्तमान में इस रीड-ओनली डोमेन कंट्रोलर के साथ प्रमाणित उपयोगकर्ताओं और कंप्यूटर्स की सूची
Resultant Policy टैब पर, आप एक उपयोगकर्ता खाता चुन सकते हैं और जांच सकते हैं कि क्या उसका पासवर्ड RODC पर कैश किया जाएगा।
आप PowerShell का उपयोग करके RODC ग्रुप्स को मैनेज कर सकते हैं। AD ग्रुप में उपयोगकर्ताओं की सूची बनाएं:
Get-ADGroupMember -Identity "Denied RODC Password Replication Group" | ft Name, ObjectClass
किसी विशिष्ट Active Directory Organizational Unit (OU) से सभी सक्षम उपयोगकर्ताओं को RODC ग्रुप में जोड़ें:
Get-ADUser -SearchBase 'OU=MUN_Branch1,DC=woshub,DC=com' -Filter {Enabled -eq "True"} | ForEach-Object {Add-ADGroupMember -Identity 'Allowed RODC Password Replication Group' -Members $_ -Confirm:$false }
OU से RODC में उपयोगकर्ता पासवर्ड कैश को पूर्व-आबाद करने के लिए, निम्न PowerShell स्क्रिप्ट का उपयोग करें:
$usrs = Get-ADUser -SearchBase 'OU= MUN_Branch1,DC=woshub,DC=com' -Filter {Enabled -eq "True"}
foreach ($usr in $usrs) {
Get-ADObject -identity $usr | Sync-ADObject -Source MUN-DC01 ‑Destination MUN-RODC1 -PasswordOnly
}
आप उन उपयोगकर्ताओं और कंप्यूटर्स को सूचीबद्ध कर सकते हैं जिनके पासवर्ड RODC कैश में हैं:
Get-ADDomainControllerPasswordReplicationPolicyUsage -Identity MUN-RODC1 ‑RevealedAccounts
आप किसी विशिष्ट उपयोगकर्ता के पासवर्ड को RODC कैश से नहीं हटा सकते। हालाँकि, आप ADUC स्नैप-इन या Set-ADAccountPassword PowerShell cmdlet के माध्यम से उपयोगकर्ता का पासवर्ड रीसेट करके इस कैश को अमान्य कर सकते हैं।
