Para que você instale com sucesso uma infraestrutura de RODCs, alguns requisitos precisam ser preenchidos:

• Nível da Floresta do AD: Windows Server 2003 Nativo ou Superior. Isto é necessário porque neste modo a feature LVR (linked-value replication) é ativado. Essa característica melhora o nível de consistência de replicação do AD e performance. Por exemplo, sem o LVR, se você alterar o membro de um grupo existente do AD (por exemplo, remover um usuário de um grupo), esse grupo inteiro é replicado para os outros DCs. Com o LVR ativado, apenas o usuário alterado é replicado. Isto claro, garante uma performance muito melhor. Para maiores informações sobre como proceder para fazer um "raise" da floresta, consulte: Aumentando o nível de funcionalidades da Floresta e Domínio em uma
• Nível de Domínio do AD: Windows Server 2003 Nativo ou Superior. Isto também é necessário para ativar outra feature, chamado Kerberos constrained delegation. Essa feature precisa estar ativada porque o RODC possui uma conta responsável pela geração de tickets Kerberos e comunicação com DCs full.
• Preparar a floresta e domínio com o ADPREP. Para adicionar esse novo elemento em sua rede, você precisa preparar o schema do AD e os security descriptors, por isso, é necessário utilizar o comando adprep.exe, conforme segue-se:
• adprep/forestprep: execute esse comando no servidor que é o seu Schema Master da Floresta. Para maiores informações: Prepare a Windows 2000 or Windows Server 2003 Forest Schema for a Domain Controller That Runs Windows Server 2008.
• adprep/domainprep /gpprep: esse comando deve ser executado no Infrastructure Master. Para maiores informações: Prepare a Windows 2000 or Windows Server 2003 Domain for a Domain Controller That Runs Windows Server 2008.
• adprep /rodcprep: esse é comando que vai realmente preparar sua infraestrutura (como por exemplo orientando os servidores de DNS que também são DCs a manterem sua base read-only) para absorver um RODC. É muito importante que na execução destes comandos ,você garanta que a replicação aconteça para todo o seu ambiente. Para maiores informações, consulte: Prepare a Forest for a Read-Only Domain Controller.
• Pelo menos 1 DC em seu ambiente precisa ser Windows Server 2008 + Full DC. Isto é importante porque o RODC só consegue replicar a partição Domain a partir de um Windows Server 2008 AD Full. Como sabemos, há 3 partições default para replicação do AD: Schema (que contém o schema do AD), Configuration (que contém configurações de Site e Services, IP subnets, etc) e Domain (que contém os objetos propriamente ditos, como usuários e computadores). Ele até consegue replicar as outras partições (Schema e Configuration) usando um Windows Server 2003 como replication partner, mas a partição principal, Domain, apenas a partir de um servidor Windows Server 2008 FULL. Assim, como primeiro passo, antes de se instalar um RODC, você já deve ter promovido um Windows Server 2008, por exemplo, em sua matriz. Claro que por redundância você pode ter pelo menos 2 servidores neste estado.

A seguinte documentação contém mais informações a respeito:

Donwload: http://www.microsoft.com/downloads/details.aspx?FamilyID=ae33a129-ff41-4bec-b2b7-6ddcd4998828&DisplayLang=en

Uma das novidades do Windows Server 2008 é um novo recurso do Active Directory chamado "Read Only Domain Controllers", ou simplesmente RODC. Como o nome já diz, são servidores que atuam como Domain Controllers , porém, sua base de AD é somente leitura. Diferente dos antigos BDCs (Backup Domain Controller) dos ambientes NT 4.0, os RODCs possuem algumas vantagens interessantes em um ambiente Windows Server 2003 / 2008, tais como:

• Segurança: como a base de AD é somente leitura, ela não gera nenhuma alteração nova, o que significa que mesmo compromissada, a base não pode ser alterada; a'lém disso, por padrão, os RODCs não armazenam as credenciais (leia-se senha) dos usuários e computadores de seu ambiente. Ou seja, se o servidor for compromissado e um ataque de brutal force for iniciado, os usuários apresentaram senhas "vazias". Claro que isto é configurável e você pode dizer quais grupos ou usuários podem ou não replicar suas credenciais
• Gerenciamento: há uma nova funcionalidade chamada "Administrator Role Separation", o que basicamente significa que você pode escolher um grupo do AD ou um usuário para pertencer a um dos grupos locais administrativos de um RODC (isto mesmo, você pode "adicionar" uma conta como administrador local de um RODC), sem que essa conta seja administrador de outros DC's no seu ambiente ou que tenha que fazer parte do grupo "Domain Admins". Isto acrescenta um bom nível de granularidade no seu ambiente e permite endereçar alguns problemas, como por exemplo, permitir que um usuário comum do escritório remoto instale uma impressora em um DC local sem a intervenção direta do administrador
• Performance / Replicação: como o RODC não gera novos objetos, isto significa que seu Replication Partner do AD terá apenas 1 conector de 1 via e não 2, como de costume. Isto já reduz em 50% o tráfego de replicação, pois apenas o RODC entra em contato com o o seu replication partner (que necessariamente precisa ser um DC full) e recebe as alterações da base do AD.

A seguinte documentação contém mais informações a respeito:

Donwload: http://www.microsoft.com/downloads/details.aspx?FamilyID=ae33a129-ff41-4bec-b2b7-6ddcd4998828&DisplayLang=en

Bem pessoal,

Semana passada encerramos o último evento da série Technet Live Show.

Segue algumas fotos dos eventos pelo Brasil. Em outro post, vou consolidar todos os documentos técnicos e conteúdo !

Ok, você instalou o Vista (ou não ainda por falta de oportunidade) e agora que saber quais recursos interessantes você pode testar primeiro. Esse link abaixo lhe ajuda com algumas informações bem interessantes.

Link: http://technet.microsoft.com/pt-br/library/cc507884(TechNet.10).aspx

Se você é um administrador de rede, com certeza já possui ou tem planos de documentar de modo estruturado sua rede. Um diagrama de tal tipo lhe ajuda melhor a compreender as necessidades de seu ambiente, e até mesmo a validar a arquitetura atual, considerando possíveis mudanças para melhoria.

Uma ferramenta neste sentido é o Visio 2007 Professional, e neste post, coloco um link para o download de um conector do Visio para Exchange que lhe ajuda a documentar sua estrutura de Exchange de modo gráfico.

Download: http://www.microsoft.com/downloads/details.aspx?FamilyID=0140bc6d-1c51-41f6-a473-d0e04690ee5e&DisplayLang=en