只读域控制器 (RODC) 是 Windows Server? 2008 操作系统中的一种新类型的域控制器。借助 RODC，组织可以在无法保证物理安全性的位置中轻松部署域控制器。RODC 承载 Active Directory(R) 域服务 (AD DS) 数据库的只读分区。
RODC的作用？
由于 RODC 是只读的，并且其他域控制器不从其进行复制，它们会出现一些异常的行为。例如，延迟对象（即，因为 DC 的复制时间不能长于林的生存周期，所以除了特殊的 DC，该类对象已从其他位置删除）通常由 DC 的出站复制伙伴检测。但是，由于 RODC 没有入站复制伙伴，因而它们不会检测延迟对象。
如果林中其他域的用户试图向 RODC 验证，RODC 必须能够访问其所在域的完全 DC 来获取信任密码，以便将验证请求正确传递给用户域中的 DC。如果在其域中 RODC 和完全 DC 之间的网络连接不可用，验证将失败。
RODC 提供了一种在要求快速、可靠的身份验证服务但不能确保可写域控制器的物理安全性的位置中更安全地部署域控制器的方法。但是，您的组织也可选择根据特殊管理要求部署 RODC。例如，行业 (LOB) 应用程序只有在安装在域控制器上的情况下，才可以成功运行。或者，域控制器可能是分支机构中唯一的服务器，并且可能必须承载服务器应用程序。在这种情况下，LOB 应用程序的所有者必须经常以交互方式登录到域控制器，或使用终端服务配置和管理应用程序。此情况产生了在可写域控制器上可能无法接受的安全风险。
RODC 为在此方案中部署域控制器提供了更安全的机制。您可以向非管理域用户授予登录到 RODC 的权限，同时最小化 Active Directory 林的安全风险。还可以在其他方案中部署 RODC。
下面我就来部署一下windows server 2008只读域控制器，部署windows server 2008只读域控制器我选择了两台电脑，server1和server2，server1 为DNS服务器，windows2008.com域控制器，IP：192.168.1.10；server2为只读域控制器，IP：192.168.1.11，DNS：192.168.1.10
注意：两台电脑的操作系统必须是windows server 2008操作系统
一、查看林功能、与功能级别
在server1计算机上操作。要保证林功能、与功能的级别是windows server 2003或windows server2003以上的级别。关于域的功能级别，可以参考这篇文章http://blog.chinaunix.net/u1/37091/showart_1844614.html
如图打开“活动目录域和信任关系”
右键单击域windows2008.com，选择“属性”
我们这里林功能、域功能的级别是windows server2008的，满足要求了。
如果功能级别没有达到要求，我们可以选择“提升域功能级别”来提升级别。
二、复制文件“adprep”
接下来将我们将windows 2008 安装光盘中\sources\adprep文件夹复制到架构主机，也就是server2上
复制到server2的C盘根目录下就行
三、执行adprep /rodcprep命令
在server2上操作。下面在CMD命令下定位到复制过来的adprep文件夹，输入adprep /rodcprep命令。如图成功执行完成。运行 adprep /rodcprep命令来更新林中所有DNS目录分区上的权限，这样才能允许，RODC上的DNS服务器从现有林中的DNS复制
命令执行完成后我们在C:\Windows\debug\adprep\logs\20090717231802 中的 ADPrep.log可以看见相关的日志记录
四、安装只读域控制器
同样在只读域控制器server2上进行操作。我们在开始运行中输入“Dcpromo”，然后回车
进入活动目录域服务器安装向导点击下一步。“高级安全模式”，可以在安装过程中配置密码复制策略等，我们一般选择普通安装模式即可
下一步
选择“现有林”中的“向现有域添加域控制器”
输入所在域中的域名，在指定一个用于执行安装的帐户凭据
选择一个域
选择一个站点
这里我们勾选“全局编录”和“只读域控制器（RODC）”
选择“是”继续下一步
指定一个组，向组中添加各个用户。我们指定组名是“Domain Users”
指定数据库、日志、SYSVOL文件的存储位置
输入一个目录服务器还原模式密码，点击下一步开始配置域控制器
Ok！正在配置域控制器
成功配置完成，点击“完成”退出域服务器安装向导
之后系统要求我们重启计算机。
五、查看只读域控制器
服务器重启完成后，我们在“开始”---“程序”---“管理工具”中打开“服务管理器”，如下图所示：我们在角色中可以看见有关活动目录的一些选项，在“Active Directory 用户和计算机”后面我们可以看见计算机“server2”位于windows2008.com这个域中，其为只读域控制器。
另外在活动目录站点和服务中我们也可以看到Server2计算机属于“只读域控制器”
本文转自 张宏伟 51CTO博客，原文链接:http://blog.51cto.com/hongwei/180159
