Làm vi
ệ
Ngu
ồ
n:
Quản t
r
Micros
o
trọng c
ủ
Giới th
Trong
W
không
t
Control
Micros
o
Control
Read
O
hàng t
h
này hẳ
n
Primar
y
miền.
C
controll
domain
Mặc dù
nó. Đá
n
controll
đã giới
2000 S
e
c với Re
quantrima
r
ị mạng –
o
ft lại đưa
a chúng
iệu
indows
t
hấy từ Wi
n
lers. Tron
o
ft lại làm
n
lers nằm
ở
nly Doma
h
ập kỷ. Tu
y
n
là có lý
d
domain
ác domai
er và ở tr
ạ
controlle
mô hình
n
g kể nhất
er có thể l
à
thiệu một
rver. Wi
ad Only
D
ng.com
Trong bài
t
r
ở lại tín
h
n
hư thế n
à
S
erver 20
0
n
dows NT
g
bài viết
n
n
hư vậy v
à
ở
chỗ nào.
in Control
l
y
nhiên nó
d
o của nó.
c
ontroller
s
n
controll
e
ạ
ng thái c
h
r
.
m
iền này l
à
trong số
c
à
tê liệt to
à
số thay đ
ổ
n
dows 200
0
D
omain C
o
này chún
h
năng Re
a
à
o.
0
8, Micros
o
; đó chính
n
ày, chún
g
à
ưu điểm
l
er (hay đ
ư
lại xuất h
i
s
ẽ cập nh
ậ
e
r khác nà
y
h
ỉ đọc nhữ
n
à
m việc k
h
c
ác nhượ
c
à
n bộ miề
n
ổ
i lớn đối
v
0
Server
c
o
ntroller
–
g tôi sẽ gi
ớ
a
d Only D
o
o
ft đã đưa
là tính nă
g
tôi sẽ gi
ớ
trong việ
c
ư
ợc viết tắ
i
ện trở lại
t
Chúng ta
hành má
y
của Micro
hành má
y
Windows
Tuy nhiên
controller
năng ghi.
đến với t
ê
PDC, là
m
viên có th
ể
ậ
t cho các
y
được co
i
n
g gì mà
c
h
á tốt như
c
điểm đó l
n
. Như nh
v
ới mô hìn
c
ó giới thi
ệ
–
Phần 1
ớ
i thiệu c
h
o
main Co
n
t
r
ở lại mộ
t
ng Read
O
ớ
i thiệu ch
o
c
sử dụng
t là ROD
C
t
rong Win
d
đều biết
W
y
chủ Win
d
soft. Cũn
g
y
chủ Win
d
NT cũng
h
có nhữn
g
bên trong
Domain c
o
ê
n Primary
m
ột domai
n
ể
ghi thôn
g
domain c
o
i
như một
c
húng đư
ợ
ng nó cũn
g
à vấn đề
v
ững gì bạ
n
h miền kh
ệ
u hai côn
g
B
r
o các bạ
n
trollers v
à
tính năn
nly Dom
các bạn
Read Onl
C
) đã bị bỏ
ows Ser
indows N
ows Serv
g
giống nh
ư
ows Serv
ỗ trợ sử
khác biệ
mỗi miền
ntroller n
Domain
controlle
g
tin lên đ
ó
ntroller k
backup d
o
c nâng c
g
có như
ợ
ới primar
có thể bi
i họ phát
nghệ m
r
ien M. P
o
n
lý do tại
s
à
tầm qua
n
g
mà chún
a
in
lý do tại s
a
y
Domain
r
ơi các đ
â
v
er 2008,
đ
T là hệ đi
ề
e
r đầu tiê
n
ư
các hệ
đ
e
r hiện đạ
i
d
ụng miền
.
t
đó là do
m
mới có kh
à
y được
b
C
ontroller
h
r
mà quản
ó
. Sau đó
h
ác bên tr
o
o
main
ấ
p bởi pri
m
ợ
c điểm củ
y
domain
ết, Micros
h
ành Wind
ớ
i cho các
o
se
y
s
ao
n
g ta
a
o
â
y
đ
iều
ề
u
n
đ
iều
i
,
.
m
ain
ả
b
iết
h
ay
trị
o
ng
m
ary
a
oft
ows
Simpo PDF Merge and Split Unregistered Version - http://www.simpopdf.com
domain controller, cả hai đều vẫn được sử dụng cho tới ngày nay đó là Active
Directory và multi master domain (mô hình đa miền chủ).
Dù vẫn có những vai trò của PDC và một số vai trò đặc biệt khác, nhưng hầu hết
các domain controller trong mô hình multi master domain đều có thể ghi. Điều đó
có nghĩa rằng một quản trị viên có thể sử dụng một nâng cấp cho bất cứ domain
controller nào và nâng cấp đó sẽ được nhân rộng cho tất cả các domain
controller khác trong miền.
Mô hình multi master domain được giữ lại trong Windows Server 2003 và vẫn
được sử dụng trong Windows Server 2008. Mặc dù vậy, Windows Server 2008
cũng cho phép bạn có thể tạo Read Only Domain Controller. RODC là các bộ
điều khiển miền (domain controller) mà các quản trị viên không thể cập nhật trực
tiếp cơ sở dữ liệu Active Directory. Chỉ có một cách để nâng cấp các domain
controller là sử dụng một sự thay đổi đối với domain controllers cho phép ghi,
sau đó cho phép thay đổi đó nhân rộng đến RODC.
Như những gì bạn có thể thấy, RODC không phải là sự thiếu sót của một di hài
từ thời Windows NT. Trong trường hợp này công nghệ thực sự mang tính chất
chu kỳ! Rõ ràng Microsoft sẽ không đưa trở lại RODC nếu họ không thấy có
những ưu điểm trong việc thực hiện đó.
Trước khi bắt đầu giải thích tại sao Microsoft lại đưa trở lại RODC, hãy cho phép
chúng tôi làm sáng tỏ rằng việc sử dụng RODC hoàn toàn không mang tính bắt
buộc. Nếu bạn muốn mọi domain controller trong toàn bộ forest đều có thể ghi
thì bạn hoàn toàn có thể thực hiện điều đó.
Một thứ khác mà chúng tôi muốn đề cập nhanh là mặc dù RODC rất giống với
Backup Domain Controllers (BDC) được sử dụng trong Windows NT nhưng
chúng có một chút tiến hóa. Tuy nhiên bên cạnh đó cũng có một số thứ mang
tính duy nhất đối với RODC và chúng tôi sẽ chỉ ra cho các bạn về những vấn đề
này.
Lại quay trở về với câu hỏi tại sao Microsoft lại đưa trở lại RODC? Quả thực có
rất nhiều khó khăn trong việc hỗ trợ các văn phòng chi nhánh. Điều đó là vì sự
cách ly của các văn phòng này và vì bản chất của kết nối giữa cơ quan đầu não
của công ty và văn phòng nhánh.
Thông thường, có một số tùy chọn khác nhau cho việc quản lý các văn phòng
chi nhánh, tuy nhiên trong các phương pháp đó lại có một số các ưu nhược điểm
của riêng chúng. Một trong những cách chung nhất cho việc xử lý với các văn
phòng nhánh là để tất cả các máy chủ trong một văn phòng chính, sau đó cung
cấp cho người dùng văn phòng chi nhánh kết nối với các máy chủ này thông qua
Simpo PDF Merge and Split Unregistered Version - http://www.simpopdf.com
một liên kết WAN.
Rõ ràng, bất thuận lợi rõ nhất trong việc sử dụng phương pháp này là nếu liên
kết WAN gặp trục trặc thì người dùng tại văn phòng chi nhánh sẽ không thể thực
hiện bất cứ công việc gì, vì họ hoàn toàn bị cách ly khỏi tài nguyên máy chủ.
Thậm chí nếu liên kết WAN hoạt động nhưng hiệu suất có thể bị giảm vì các liên
kết WAN thường có tốc độ chậm và dễ bị tắc nghẽn.
Một tùy chọn khác cho việc xử lý với các văn phòng chi nhánh là đặt tối thiểu
một domain controller trong văn phòng này. Domain controller này sẽ hoạt động
như một DNS server và như một máy chủ global catalog. Theo cách này, nếu
liên kết WAN gặp vấn đề thì người dùng trong văn phòng chi nhánh vẫn có thể
đăng nhập vào mạng. Phụ thuộc vào bản chất của công việc của người dùng tại
văn phòng mà có thể đặt thêm số lượng máy chủ tại văn phòng nhánh.
Giải pháp này thường cho kết quả làm việc khá tốt tuy nhiên vẫn có một số
nhược điểm trong quá trình sử dụng nó. Bất thuận lợi chính là về giá thành. Việc
để nhiều máy chủ tại các văn phòng nhánh yêu cầu tổ chức cần phải bỏ ra nhiều
tiền để mua phần cứng máy chủ và kèm theo đó là các đăng ký về phần mềm.
Tuy cũng có thể được hỗ trợ về giá thành. Một tổ chức cần phải xác định rõ xem
liệu họ cần thuê nhân viên CNTT “full time” để hỗ trợ cho văn phòng nhánh
không, hay họ có thể bằng lòng với thời gian mà nhân viên CNTT đi lại từ văn
phòng chính đến văn phòng nhánh khi cần đến sự hỗ trợ onsite.
Một vấn đề khác trong việc để các máy chủ tại văn phòng nhánh là việc bảo mật.
Các máy chủ được đặt bên ngoài trung tâm dữ liệu thường thiếu tính giám sát
cao. Chúng thường chỉ được khóa lại trong một buồng nhỏ tại văn phòng nhánh
và được giao cho nhân viên uy tín giữ chìa khóa.
Như đã được đề cập ở trên, các kết nối WAN có thể chậm và không ổn định.
Điều này đã làm nảy sinh một vấn đề khác với việc đặt máy chủ tại các văn
phòng chi nhánh. Lưu lượng mô hình thứ bản Domain controller có thể làm tắc
nghẽn liên kết WAN.
Đây chính là chỗ RODC thể hiện được vai trò của nó. RODC cũng giống như
các domain controller khác, ngoại trừ cơ sở dữ liệu Active Directory không thể
ghi trực tiếp. Việc đặt RODC tại văn phòng chi nhánh không khắc phục triệt để
được vấn đề lưu lượng bản sao của Active Directory nhưng nó làm giảm được
một phần tải trọng của các máy chủ đầu cầu vì chỉ có lưu lượng bản sao gửi đến
là được cho phép.
RODC cũng có thể cải thiện được vấn đề bảo mật vì người tại văn phòng chi
nhánh không thể thay đổi bất cứ thứ gì trong cơ sở dữ liệu Active Directory.
Simpo PDF Merge and Split Unregistered Version - http://www.simpopdf.com
Thêm vào đó, không có thông tin về tài khoản nào được tạo bản sao đến RODC.
Điều này có nghĩa rằng nếu ai đó đánh cắp một RODC thì người này cũng không
thể sử dụng các thông tin mà họ lấy được từ nó. Việc các thông tin tài khoản
người dùng không được ghi đến RODC cũng làm giảm được số lượng lưu lượng
bản sao đối với các liên kết WAN, tuy nhiên nó không có nghĩa rằng với một số
ngoại lệ, thẩm định người dùng sẽ phụ thuộc vào liên kết WAN đang hiện hữu.
Kết luận
Như những gì bạn thấy, Read Only Domain Controller có vai trò rất quan trọng
của nó. Trong phần tiếp theo của loạt bài này, chúng tôi sẽ giới thiệu cho các
bạn việc lập kế hoạch và triển khai cho Read Only Domain Controller.
Simpo PDF Merge and Split Unregistered Version - http://www.simpopdf.com
Làm việc với Read Only Domain Controller – Phần 2
Ngu
ồ
n:quantrimang.com
Brien M. Pose
y
Quản trị mạng – Trong phần hai này chúng tôi sẽ giới thiệu cho các bạn về một
số khía cạnh trong triển khai Read Only Domain Controllers.
Giới thiệu
Trong phần trước của loạt bài này, chúng tôi đã giới thiệu cho các bạn một số lý
do cơ bản về việc Microsoft cung cấp Read Only Domain Controllers trong
Windows Server 2008. Trong phần hai này, chúng tôi sẽ giới thiệu cho các bạn
một số khía cạnh thực hành trong quá trình làm việc với Read Only Domain
Controllers.
Tiêu chuẩn tài khoản người dùng
Chúng tôi sẽ bắt đầu bằng cách làm rõ một số thứ đã đưa ra trong phần cuối của
phần một. Ở phần cuối của phần một đó, chúng tôi đã cho rằng không có các
thông tin tài khoản nào được lưu trên read only domain controller.
Tuy nhiên trong thực tế không hẳn như vậy, các thông tin tài khoản người dùng
lại được lưu trên các bộ điều khiển miền chỉ đọc. Những gì mà các bộ điều khiển
miền domain controllers đang thiếu là các mật khẩu của người dùng. Những mật
khẩu này không được sao chép vào Read Only Domain Controllers. Nếu ai đó
đánh cắp một domain controller từ một văn phòng chi nhánh thì họ cũng không
thể sử dụng các thông tin được lưu trong cơ sở dữ liệu Active Directory để bẻ
khóa mật khẩu của người dùng.
Thuộc tính của người dùng
Mặc định, mật khẩu chỉ là thuộc tính của người dùng và không được tạo bản sao
đến Read Only Domain Controllers. Mặc dù vậy bạn vẫn thể cấu hình Windows
nhằm ngăn chặn việc bị tạo bản sao các thuộc tính của những người dùng khác.
Vậy tại sao bạn lại sử dụng tính năng như vậy? Cần phải nói rằng nếu chỉ sử
dụng với tư cách là một cơ chế thẩm định thì bạn có thể sẽ không cần đến tính
năng này. Tuy nhiên bạn cần lưu ý có nhiều tổ chức phụ thuộc nhiều vào Active
Directory hơn dùng cơ chế thẩm định quyền.
Trong ví dụ mà chúng tôi sẽ đề cập đến, đó là một môi trường doanh nghiệp lớn,
Simpo PDF Merge and Split Unregistered Version - http://www.simpopdf.com