rodc部署需前置规划并满足四项基础条件：林/域功能级别≥2008、主dc复制正常、目标服务器已加域且dns指向wdc、本地管理员临时属domain admins组；预创建rodc账户并绑定prp策略；安装时显式指定只读参数并用企业管理员凭据；验证需确认nltest返回“read-only”、aduc中dc类型为“只读, gc”、powershell返回isreadonly为true；密码缓存仅限prp授权且须定期清理。
配置只读域控制器（rodc）的核心目标是让分支机构在物理防护薄弱、缺乏本地it支持的环境下，仍能提供快速身份验证，同时避免ad数据库被窃取或篡改。它不是简单勾选“只读”选项就能完成，而是一套需前置规划、分步执行、严格管控的部署流程。
确认基础环境是否达标
RODC不能独立存在，必须依托现有可写域控制器（WDC）。以下四项必须全部满足：
- 林功能级别和域功能级别均 ≥ Windows Server 2008（2003仅支持基础功能，不建议）
- 主域控运行正常，repadmin /replsummary 显示所有复制状态为 SUCCESS，无 RPC 错误或拒绝访问
- 目标服务器已加入域，且DNS 设置指向该 WDC（不可设为127.0.0.1、自身IP或公网DNS）
- 本地管理员账户临时属于 Domain Admins 组（安装完成后应立即移出）
预创建RODC账户并配置密码复制策略（推荐）
先在主域控上用 PowerShell 创建带策略绑定的 RODC 计算机对象，比直接安装更可控、可审计、易复用：
Windows-Android_SSH_Remote_Control
下载
通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。
- 运行：Add-ADDSReadOnlyDomainControllerAccount -DomainControllerAccountName RODC-Branch01 -SiteName "Branch-Site" -AllowPasswordReplicationAccountName "Branch-Users"
- "Branch-Users" 是一个普通安全组，仅包含该分支需本地登录的用户；严禁将 Domain Admins 或其他高权限组加入允许列表
- 该命令自动创建计算机账户，并绑定密码复制策略（PRP），避免后续手动配置遗漏
在目标服务器上执行RODC提升
登录目标服务器（已加域、DNS正确、重启过），使用 PowerShell 安装：
- 运行：Install-ADDSDomainController -ReadOnlyReplica:$true -Credential (Get-Credential) -Force:$true
- -ReadOnlyReplica:$true 必须显式指定，否则默认建成可写DC
- Credential 需为企业管理员（Enterprise Admins）权限，非 Domain Admins 即可（但需有企业级权限）
- 安装完成后自动重启，无需手动干预
验证与后续管控要点
安装不是终点，关键在验证角色和收紧凭据行为：
- 运行：nltest /dsgetdc:contoso.com /rodc，返回结果中必须含 “Read-only” 字样
- 打开ADUC → Domain Controllers 容器 → 右键RODC属性 → “DC 类型” 应显示为 “只读, GC”
- 运行：Get-ADDomainController -Identity RODC-Branch01 | Select-Object IsReadOnly，返回值应为 True
- 默认不缓存任何用户密码，网络中断即无法登录；如需缓存，只能通过 PRP 显式授权，且须定期清理残留哈希
