RODC - Fehlermeldung krbtgt-Konto

[daabm 1.366]

Wir haben das Thema "produktiv" durchgespielt mit 2008R2 bis 2012R2. Nie wieder... Es ist echt den Aufwand nicht wert, und am Ende hat man meist so viele replizierte PW-Hashes auf dem Ding, daß man besser die Anbindung an die Zentrale überdenkt und nur dort DCs hat.

[cj_berlin 1.329]

So isses. Es sei denn, man ist das Militär und somit genau die Zielgruppe, die das bestellt hat.

[toao 4]

Hi,

ein paar Fragen die bei der Analyse und der Entscheidungsfindung helfen könnten:
 

- Liste an Fragen ob RODC (Liste nicht vollständig...):
Phyisical security?

- Locked Serverroom

- Dedicated locked server rack?
Phyisical access?

- Restricted\Limited access to Serverroom and\or server rack?

- Audited access process?
 

- Liste an Fragen ob RODC oder DC grundsätzlich in Frage kommt (Liste nicht vollständig...):
What is the connection bandwidth to next Datacenter?
What is the connection latency to next Datacenter
What is the connection reliability?
What is the connection availability?
Is there a secondary/backup connection line?
How many users\computers on site?
Systems, applications, services, it-solutions which are heavily using ADDS?
Business criticality of the site?

Über oben genannte Fragen lässt sich "diskutieren". Es soll hier vielmehr einen Eindruck vermitteln, wie man sich dem Thema nähern kann, um besser einschätzen zu können ob ein Einsatz eines RODC oder DC in Frage kommt und ob es vielleicht auch ohne geht.

 

Zum Thema "Parallel DC und RODC an einer "site" zu betreiben, kann man sich diesen Artikel mal durchlesen (auch wenn er von 2008 stammt): https://learn.microsoft.com/en-us/previous-versions/orphan-topics/ws.10/cc730693(v=ws.10)?redirectedfrom=MSDN

In der Tat, wie schon einige hier erwähnt haben, gibt es extrem wenige Fallbeispiele in dem ein RODC Sinn ergibt. Und ich möchte diese Aussage auch in der Hinsicht erweitern, dass manch ein Unternehmen oder Admin sich wundern würde, in wie vielen Fällen es auch funktioniert + vertretbar ist (mit allen potentiellen CON's) an einer "site" keinen RODC und keinen DC zu haben.

 

Lasse Dir am besten von Deinem Berater eine Aufschlüsselung geben, eine Herleitung anhand Deiner Umgebung und Gegebenheiten, warum in Eurem Fall, diese "Sicherheitsmaßnahme" auch wirklich eine ist.

 

Gruß,

toao

bearbeitet 10. September von toao