Partager via

Instalando o RODC no Windows Server 2008 R2: Server Core

  • Article

 

Este artigo irá demonstrar como instalar o RODC (Read Only Domain Controller) em um servidor com o Windows Server 2008 R2: Server Core.

Acredito que nesta altura do campeonato a maioria dos leitores já saibam o que é o RODC, mas só para explicar em poucas palavras para os que ainda não conhecem essa feature do Windows Server 2008, o RODC é um Domain Controller, como os demais, que autentica os usuários e computadores na rede onde ele se encontra, e é ideal para se instalado em escritórios remotos, onde não há uma infraestrutura adequada de segurança para a guarda do servidor.

Antes de instalar o primeiro RODC, precisamos validar alguns pré-requisitos de infraestrutura.

Validados os pré-requisitos, mãos à obra:

Aqui vale uma observação, existem várias formas para implantar o RODC no domínio, aqui vamos apresentar a opção onde o próprio administrador instalará o RODC; .

Vamos para as atividades necessárias para subir o RODC, usando as credenciais de um administrador do domínio.

  1. Instalar o Windows Server 2008 R2, no modo Server Core:
    image

  2. Configurar os opções básicas do servidor:
    O Windows Server 2008 R2 conta agora com uma ferramenta de configuração chamada SCONFIG que ajuda bastante na hora de realizar as configurações básicas, como Nome da Máquina, IP, DNS, etc…
    Em um outro post, dou várias dicas de configuração do Server Core, se precisar dá uma espiada lá (https://blogs.technet.com/brzad/archive/2009/07/15/instalando-o-hyper-v-no-windows-server-2008-server-core.aspx)

  3. Promover o servidor a RODC/Instalar o DNS
    Para promover o servidor a RODC deve-se primeiro preparar um arquivo de respostas para ser usado com o comando DCPromo, uma vez que o Server Core não tem interface gráfica, não há como usar o assistente de promoção do DCPromo.

    Abaixo, segue um exemplo de um arquivo de respostas para promover um RODC e também instalar o DNS, copie e cole no notepad e lembre-se de substituir os valores destacados em vermelho:

    [DCInstall]
    ReplicaOrNewDomain=ReadOnlyReplica
    ReplicaDomainDNSName=
    <NOME.DO.DOMINIO> SiteName=Default-First-Site-Name
    InstallDNS=Yes
    ConfirmGc=Yes
    UserDomain=<NOME.DO.DOMINIO> UserName=*
    Password=*
    DatabasePath="C:\Windows\NTDS"
    LogPath="C:\Windows\NTDS"
    SYSVOLPath="C:\Windows\SYSVOL"
    PasswordReplicationDenied="Domain Admins"
    PasswordReplicationDenied="Enterprise Admins"
    PasswordReplicationAllowed=None
    DelegatedAdmin="Domain Admins"
    CriticalReplicationOnly=Yes
    SafeModeAdminPassword= <SENHA DO ADMIN LOCAL(MODO DSRM)> RebootOnCompletion=No       

    Salve o arquivo como RODCInstall.txt

    Execute o comando: dcpromo /unattend:RODCInstall.txt

    Será solicitado o Login e senha de um usuário com privilégios de administrador do domínio.

    Após promovido o RODC, efetue um restart do servidor.

    Isto conclui a instalação do RODC usando a conta do administrador.

Vejamos agora como instalar o RODC com a conta de um usuário comum

  1. Instalar o Windows Server 2008 R2, no modo Server Core
    (Idem anterior)

  2. Configurar as opções básicas do servidor
    (Idem anterior)
    Importante: Para este modo de instalação do RODC o servidor deve permanecer em Workgroup.

  3. Prepopular o RODC no Active Directory
    3.1 Criar o Site da localidade no Active Directory Sites and Services
    Abra o Active Directory Sites and Services, e crie um novo site
    RODC001
    Defina o nome do site, e associe-o com um Site Link
    RODC002Clique em Ok
    RODC003Neste cenário recomenda-se criar um objeto de subnet e associá-lo ao Site recém criado.

    3.2 Pre-popular o RODC no Active Directory Users and Computers
    No Active Directory Users and computers, clique com o botão direito em “Domain Controllers” e depois clique em “Pre-create Read-only Domain Controller Account…”
    RODC005Na tela “Welcome…” clique em Next.
    RODC006

    Na tela “Operation System Compatibility” clique em Next.
    RODC007

    Na tela “Network Credentials” clique em Next se você já estiver logado com uma conta que seja administrador do domínio, caso contrário selecione “Alternate credentials” e defina o usuário e senha para executar o wizard.
    RODC008

    Na tela “Specify the Computer Name” defina o nome de computador que será usado no servidor RODC
    RODC009

    Escolha o site que você criou no passo 3.1, e clique em Next
    RODC010

    Selecione os itens opcionais que desejar (Recomenda-se deixar "Dns Server” e “Global Catalog” selecionado) e clique em Next
    RODC011

    Na tela “Delegation of RODC Installation and Administration” defina o grupo de usuários que será usado para instalar e promover o servidor RODC e clique em Next.
    RODC012 

    Na tela “Summary” reveja as configurações e clique em Next.
    RODC013

    Para concluir clique em Finish.
    RODC014 

  4. Promover o servidor a RODC / Instalar o DNS

    Para promover o servidor a RODC deve-se primeiro preparar um arquivo de respostas para ser usado com o comando DCPromo, uma vez que o Server Core não tem interface gráfica, não há como usar o assistente de promoção do DCPromo.

    Abaixo, segue um exemplo de um arquivo de respostas para promover um RODC pré-criado no Active Directory e também instalar o DNS, copie e cole no notepad e lembre-se de substituir os valores destacados em vermelho:

    [DCInstall]
    ReplicaOrNewDomain=ReadOnlyReplica
    ReplicaDomainDNSName=
    <NOME.DO.DOMINIO> SiteName=Default-First-Site-Name
    InstallDNS=Yes
    ConfirmGc=Yes
    UserDomain=<NOME.DO.DOMINIO> UserName=<NOMDE.DO.DOMINIO>\USUARIO_DELEGADO Password=*
    DatabasePath="C:\Windows\NTDS"
    LogPath="C:\Windows\NTDS"
    SYSVOLPath="C:\Windows\SYSVOL"
    CriticalReplicationOnly=Yes
    SafeModeAdminPassword= <SENHA DO ADMIN LOCAL(MODO DSRM)> RebootOnCompletion=No       

    Salve o arquivo como RODC_Install.txt

    Execute o comando:
    dcpromo /UseExistingAccount:Attach /unattend:RODC_Install.txt
    RODC_Servercore001Na tela “Windows Security” preencha a senha do usuário que foi delegado para a instalação do RODC e que faça parte do grupo definido na hora de pré-popular o RODC no Active Directory.
    RODC_Servercore002Se tudo estiver certo a promoção do RODC deve começar conforme tela abaixo:
    RODC_Servercore003

    Após promovido o RODC, efetue um restart do servidor.

    Isto conclui a instalação do RODC usando a conta de um usuário normal, que foi delegado para instalar e promover o RODC.

  1. Pós Instalação (Opcional) Configuração do PRP(Password Replication Policy)

    Conforme dito no início deste artigo, por padrão o RODC não armazena em cache as senhas dos usuários, com isto, na eventual falha de comunicação entre o RODC e o DC “full” os usuários das localidades onde um RODC for instalado poderão ter problema para efetuar logon.

    Para que este comportamento não ocorra, deve-se habilitar o cache das senhas dos usuários da localidade para o respectivo servidor RODC.

    A maneira mais segura de fazer isto é criar um grupo de segurança para cada localidade, e habilitar o armazenamento de senha no respectivo servidor RODC apontando este grupo.

    Para fazer isto siga os seguintes passos:

    A) Crie um grupo de segurança no domínio que identifique bem a localidade, e a finalidade do grupo. (Ex: G_Pwdcache_Remoto poderia ser usado para indicar um grupo global (G), para fazer o cache da senha(Pwdcache) de usuários Remotos, que poderia ser substituido pelo nome da localidade.

    B) Abra o Active Directory Users and Computers, expanda a OU Domain Controllers, clique com o botão direito do mouse em cima do servidor RODC e selecione a opção Properties.
    clip_image001

    C) Vá até a guia “Password Replication Policy”  
    clique no botão “Add”
    clip_image002

    Selecione a opção “Allow…”, e clique em OK
    clip_image002[5]

    adicione o grupo “G_Pwdcache_Remoto” e clique em OK
    clip_image002[7]

    Atividade opcional: De volta à guia “Password Replication Policy”  é possível pre-popular as senhas dos usuários e computadores da localidade na base do RODC, para isso, clique em “Advanced”

    Na janela que se abre clique no botão “Prepopulate Passwords”
    clip_image002[9]

    Selecione os usuários/computadores que deseja pre-popular e clique em OK
    clip_image002[11]

    Na tela de confirmação, clique em “Yes”
    clip_image002[13]

    Para validar quais são os usuários/grupos que estão configurados no PRP, abra o prompt de comando e digite o seguinte comando:
    repadmin /prp view <hostname> allow
    substituindo o <hosntame> pelo FQDN do servidor RODC.

Isto conclui a instalação e configuração inicial de um RODC.

Um abraço e até a próxima!

Douglas O. Santos / José Renato Roda

Comments

  • Anonymous
    January 01, 2003
    Olá Anderson, voce deve esta perguntado do arquivo unattend.xml, certo ?

  • Anonymous
    March 01, 2011
    Oi, tudo bem ? Eu queria saber onde encontro o arquivo resposta dentro do cd de instalação do windows server 2008, quero saber o nome do arquivo com as configurações. Não estou lembrando o tal nome, poderiam me ajudar, pois fazer todo este arquivo resposta leva bastante tempo.