должен ли я быть «Контроллер домена только для чтения» при добавлении нового контроллера домена в существующий домен Windows?

Question

Вид продолжения, к которому привело меня решение этой темы .

рекламировать 2016 Essentials для контроллера домена - не удается связаться с DC

Я нахожусь в процессе замены существующей SBS 2008 на новую Windows Server 2016 Essentials в том же домене. И у меня нет большого beckground особенно в Windows. Шаг, который я выполняю в процессе миграции, - добавить новый сервер в существующий домен (работает), а затем продвинуть сервер Essentials на контроллер домена. Я выбираю опцию "Добавить контроллер домена в существующий домен" и сталкиваюсь с "Опции контроллера домена", которые выглядят так:

[+] Сервер системы доменных имен (DNS)
[+] Глобальный каталог
[] Контроллер домена только для чтения (RODC)

Мне немного интересно, не стоит ли проверять RODC, так как я не ожидал, что стану "боссом на ринге" с новым Сервером прямо сейчас.

Answer 1

Эта опция, если включена, снизит функциональность:

• По умолчанию dcpromo создаст стандартный DC, который будет доступен для записи и будет содержать полную копию базы данных AD.
• При включенной опции "RODC" dcpromo создаст ограниченный DC, который будет доступен только для чтения, а в его базе данных будут отсутствовать некоторые доменные секреты (например, хэши паролей администраторов).

У вас должен быть хотя бы один обычный DC, поэтому не используйте опцию RODC, если вы действительно не знаете, что она вам нужна.

Обратите внимание, что Active Directory является одноранговой, поэтому недавно повышенный DC не будет принимать что-либо от других DC, а также не будет автоматически их понижать. Регулярная репликация выполняется во всех направлениях, кроме ролей FSMO - они должны быть перенесены вручную, если вы планируете отключить предыдущий DC.

Редактировать: я полностью забыл, что понижение DC это вещь. Так что да, демонтируйте старый DC перед тем, как выключить его (с новым DC в сети), и об этом нужно позаботиться обо всем.