Triển khai Read Only Domain Controller
Trong Windows Server 2008, Microsoft đã tích hợp lại tính năng Read Only Domain Controller (tính năng này từng được tích hợp trong Windows NT). Trong bài viết này chúng ta sẽ tìm hiểu những thông tin cơ bản nhất về công cụ này và cách triển khai Read Only Domain Controller.
Giới thiệu Read Only Domain Controller
Windows NT là hệ điều hành điều hành Windows Server dành cho máy chủ đầu tiên của Microsoft. Cũng giống như các hệ điều hành Windows Server mới hiện nay, Windows NT cũng hộ trợ rất nhiều cho miền, chỉ có một điểm khác biệt duy nhất là một Domain Controller (trình quản lý miền) trong mỗi miền có khả năng ghi. Domain Controller này được biết đến với tên gọi Primary Domain Controller hay PDC, là Domain Controller duy nhất mà admin có thể ghi thông tin vào. Sau đó PDC sẽ cập nhật cho các Domain Controller khác trong miền này. Những Domain Controller được cập nhật này được gọi là Backup Domain Controller, chúng chỉ được đọc và cập nhật bởi Primary Domain Controller.
Dù vẫn hoạt động bình thường nhưng miền này cũng tồn tại một số nhược điểm. Đáng chú ý nhất là nếu có vấn đề nào đó xảy ra với Priamry Domain Controller thì toàn bộ miền sẽ bị ảnh hưởng. Và Microsoft đã phải cải tiến khá nhiều Domain Controller này trong Windows Windows 2000 Server. Windows 2000 Server tích hợp hai công cụ mới cho Domain Controller (cả hai công cụ này vẫn được sử dụng hiện nay) đó là Active Directory và Multi Master Domain Model.
Ngoài những tính năng tương tự của PDC, một tính năng rất quan trọng nhất của Multi Master Domain Model là mọi Domain Controller của nó đều có thể ghi được. Điều đó có nghĩa một admin có thể thực hiện cập nhật cho bất kì Domain Controller nào, và quá trình cập nhật sau đó sẽ phải được thục hiện cho mọi Domain Controller khác trong mạng.
Multi Master Domain Model được giữ lại trong Windows Server 2003 và nó vẫn được đưa vào Windows Server 2008. Tuy nhiên Windows Server 2008 cũng cho phép người dùng tạo Read Only Domain Controller. Những RDOC này là những Domain Controller mà admin không thể sử dụng để cập nhật trực tiếp cho cơ sở dữ liệu Active Directory. Phương pháp duy nhất để cập nhật những Domain Controller này là áp dụng một cài đặt cho một Domain Controller có thể ghi, sau đó áp dụng cài đặt đó cho mọi RDOC.
RDOC đã hỗ trợ rất nhiều cho Windows NT. Và tất nhiên Microsoft sẽ không tích hợp lại công cụ này nếu không nhận thấy những tính năng của nó.
Nếu muốn mọi Domain Controller trong miền có thể ghi thì bạn hãy sử dụng công cụ này, còn nếu không bạn có thể tắt bỏ.
Mặc dù RDOC rất giống với công cụ Backup Domain Controller (BDC) được tích hợp trên Windows NT nhưng chúng đã được cải tiến đôi chút.
RDOC được sử dụng để hỗ trợ cho nhóm văn phòng do sự biệt lập của những văn phòng này và đặc thù kết nối của chúng.
Trong thực tế có nhiều phương pháp khác khác nhau để quản lý nhóm văn phòng, nhưng mỗi phương pháp này đều tồn tại ưu điểm và nhược điểm riêng. Một trong những phương pháp thông thường để quản lý nhóm văn phòng là đặt mọi máy chủ tại văn phòng chính và kết nối cho những người dùng trong văn phòng chi nhánh tới những máy chủ này qua liên kết WAN.
Tuy nhiên một nhược điểm của phương pháp này là liên kết WAN rất dễ bị quá tải vì nó thường rất chậm và hay tắc nghẽn.
Một phương pháp khác thường sử dụng để quản lý nhóm văn phòng là đặt ít nhất một Domain Controller trong mỗi văn phòng chi nhánh. Domain Controller này thường hoạt động như một máy chủ DNS và như một máy chủ Global Catalog.
Dù phương pháp này tỏ ra khá hiệu quả nhưng chi phí để thực hiện lại khá cao (gồm chi phí lắp đặt và vận hành). Và một vấn đề nảy sinh khi đặt những máy chủ ở văn phòng chi nhánh là khả năng bảo mật.
Đó chính là lí do tại sao Microsoft tích hợp lại RODC trong Windows Server 2008. RODC giống với những Domain Controller khác ngoại trừ cơ sở dữ liệu Active Directory không thể ghi trực tiếp. Việc đặt một RODC tại một văn phòng chi nhánh cũng không làm ảnh hưởng tới lưu lượng phản hồi của Active Directory, tuy nhiên nó lại làm giảm lưu lượng tải của những máy chủ ngoài vì chỉ có lưu lượng phản hồi nội bộ được cho phép.
RODC có thể cải thiện bảo mật bởi vì mọi nhân viên trong văn phòng chi nhánh không thể thực hiện thay đổi cơ sở dữ liệu Active Directory. Ngoài ra, không có thông tin tài khoản nào được lưu trữ trên RODC. Điều này cũng có nghĩa là lưu lượng phản hồi qua liên kết WAN cũng được giảm đi.
Triển khai Read Only Domain Controller
Trước tiên bạn cần phải cài đặt Windows Server 2008 trên Read Only Domain Controller và kết nối máy chủ này tới một miền. Bạn có thể tạo một Read Only Domain Controller mà không cần kết nối tới miền, nhưng những thao tác dưới đây được thực hiện khi máy chủ của bạn hiện là một thành viên của miền.
Forest Functional Level
Trước khi bắt đầu, bạn cần phải cài đặt cho Forest Function Level là Windows Server 2003 hoặc cao hơn. Để thực hiện thao tác này, bạn hãy mở console Active Directory Domains and Trusts sau đó phải chuột lên danh sách Active Directory Forest rồi chọn Properties. Như trong hình 1, Forest Functional Level hiển thị trong tab General của hộp thoại Properties.
Hình 1: Xác nhận Forest Fuctional Level được cài đặt là
Windows Server 2003 hoặc cao hơn.
Nếu Forest Functional Level không phù hợp bạn sẽ phải tăng mức độ của nó lên trước khi bắt đầu. Nhớ rằng, thao tác này sẽ làm cho bạn không thể sử dụng Domain Controller của Windows 2000 trong Forest nữa.
Để tăng Forest Functional Level, click OK để đóng hộp thoại Properties sau đó bạn hãy phải chuột vào danh sách Forest một lần nữa và chọn Raise Forest Functional Level từ Command Prompt. Trong màn hình hiện ra bạn hãy lựa chọn tùy chọn Windows Server 2003 rồi click vào nút Raise.
Cập nhật Application Directory Partition
Thao tác tiếp theo là cập nhật phân quyền cho các Application Directory Partition (phân vùng thư mục ứng dụng) trong Forest để những phân vùng này có thể được phản hồi bởi mọi RODC đang hoạt động như một máy chủ DNS.
Để cập nhật Application Directory Partition, bạn hãy chèn đĩa cài đặt Windows Server 2008 vào Domain Controller được chỉ định như giản đồ chủ Schema Master của miền. Sau đó copy folder \Sources\Adprep từ đĩa DVD vào một folder trống trên ổ cứng của máy chủ này. Sau cùng, mở cửa sổ Command Prompt và điều hướng tới folder ADPREP vừa tạo và chạy lệnh sau:
ADPREP /RODCPREP
Hình 2: màn hình kết quả khi chạy lệnh ADPREP /RODCPREP.
Thăng cấp máy chủ tới một Domain Controller
Tiếp theo chúng ta sẽ cấu hình cho máy chủ hoạt động như một
Read Only Domain Controller.
Trước tiên bạn cần phải đăng nhập vào máy chủ này bằng tài khoản thành viên của nhóm
Domain Admins. Sau đó chạy lệnh
DCPROMO tại
Run Prompt của máy chủ. Khi đó
Windows sẽ khởi chạy
Active Directory Domain Services Installation Wizard. Wizard này sẽ thực hiện kiểm tra nhanh để đảm bảo rằng những
Active Directory Binary đã được cài đặt. Những Binary này không được cài đặt mặc định do đó Wizard này sẽ tự động cài đặt chúng.
Khi Windows hoàn thành cài đặt Binary nó sẽ hiển thị màn hình
Welcome của Wizard (hình 3). Tại đây bạn hãy click chọn hộp chọn
Active Directory Domain Services Installation Wizard rồi nhấn
Next.
Hình 3: Lựa chọn hộp chọn Active Directory Domain Services Installation Wizard.
Khi nhấn
Next, Wizard sẽ hỏi bạn
Domain Controller sẽ hỗ trợ cho
Forest và
Domain nào. Bạn hãy lựa chọn tùy chọn để bổ sung
Domain Controller vào một miền hiện có trong Forest đang sử dụng.
Hình 4: Lựa chọn tùy chọn bổ sung Domain Controller vào miền đang sử dụng.
Click
Next và Wizard sẽ nhắc nhở bạn nhập tên của miền dự định bổ sung
Domain Controller vào. Bạn cũng sẽ phải xác nhận muốn sử dụng những giấy phép mà hiện bạn đang đăng nhập khi bạn thăng cấp máy chủ này tới Domain Controller (hình 5). Sau khi thực hiện xong nhấn nút
Next.
Hình 5: Nhập tên của miền muốn bổ sung Domain Controller vào.
Cửa sổ tiếp theo sẽ yêu cầu bạn xác nhận miền lựa chọn. Tại đây bạn chỉ cần nhấn
Next.
Hình 6: Xác nhận miền muốn bổ sung Domain Controller vào.
Bạn cần phải chú ý màn hình yêu cầu xác định vụ trí mà bạn muốn lưu trữ Domain Controller mới (hình 6). Điều này đặc biệt quan trọng với Read Only Domain Controller bởi vì chúng thường đặt ở các văn phòng chi nhánh thường được đặt trong Active Directory riêng biệt.
Hình 7: Lựa chọn Active Directory Site chứa Domain Controller.
Sau đó click
Next và bạn sẽ được yêu cầu lựa chọn những tùy chọn bổ sung cho Domain Controller này (hình 8). Ngoài tùy chọn
Read Only Domain Controller (phải chọn), bạn nên chọn thêm tùy chọn
DNS Server và
Global Catalog để Domain Controller này hoạt động nhu một máy chủ DNS và máy chủ Global Catalog.
Hình 8: Những tùy chọn bổ sung cho Read Only Domain Controller.
Click tiếp vào nút
Next bạn sẽ thấy trang
Specify the Password Replication Policy (hình 9). Trang này cho phép kiểm soát những mật khẩu được phản hồi tới Read Only Domain Controller. Bạn có thể tự lên cấu hình hoặc sử dụng những cấu hình mặc định. Nhấn tiếp nút
Next.
Hình 9: Bạn có thể sử dụng cấu hình Password Replication Policymặc định.
Sau đó bạn có thể phân quyền cho người udngf và nhòm người dùng để hoàn tất quá trình cài đặt.
Màn hình tiếp theo cho phép bạn lựa chọn phản hồi dữ liệu qua mạng từ một Domain Controller hoặc xây dựng cơ sở dữ liệu Active Directory từ một file. Việc tạo cơ sở dữ liệu Active Directory từ một file rất hữu dụng trong trường hợp cơ sở dữ liệu lớn và kết nối chậm. Nếu không bạn chỉ cần phẩn hồi dữ liệu này qua mạng. Rồi nhấn nút
Next.
Hình 10: Lựa chọn nguồn phản hồi dữ liệu Active Directory.
Sau đó sẽ xuất hiện màn hình yêu cầu bạn lựa chọn một đối tượng phản hồi cho Domain Controller. Tốt nhất bạn nên để Windows lựa chọn đồi tượng phản hồi nếu không sử dụng Domain Controller như một đối tượng phản hồi.
Khi click vào nút
Next, bạn sẽ thấy màn hình hiển thị yêu cầu chỉ định địa chỉ lưu trữ cơ sở dữ liệu Active Directory. Sau khi lựa chọn nhấn tiếp
Next.
Sau đó bạn sẽ nhận được thông báo nhập mật khẩu cho
Directory Services Restore Mode. Bạn hãy nhập mật khẩu rồi nhấn tiếp
Next.
Sau đó danh sách tùy chọn đã được lựa chọn trong quá trình cài đặt sẽ hiện lên. Nếu mọi cài đặt đã chính xác, bạn hãy click vào nút Next để bắt đầu quá trình thăng cấp Domain Controller. Khi quá trình hoàn thành bạn hãy nhấn nút
Finish và khởi động lại máy chủ.
Kết luận
Hiện tại bạn đã cài đặt RODC đầu tiên vào hệ thống. Bạn có thể cài đặt bổ sung những RODC khác, nhưng bạn phải đợi RODC được cài đặt trước đó triển khai vào hệ thống nếu không sẽ gây lỗi cho Active Directory.
Theo Xian (Theo WindowsNetworking) - QTM
