向现有 Windows 域添加新 DC 时，我应该是“只读域控制器”吗？

Question

继续解决这个话题引领我走向。

将 2016 Essentials 提升至域控制器 - 无法联系 DC

我正在将同一域中的现有 SBS 2008 替换为新的 Windows Server 2016 Essentials。而且我对 Windows 了解不多。迁移过程中的步骤是将新服务器添加到现有域（已完成），然后将 Essentials 服务器升级为域控制器。我选择“将域控制器添加到现有域”选项，然后看到如下所示的“域控制器选项”：

[+] 域名系统 (DNS) 服务器
[+] 全局目录
[ ] 只读域控制器 (RODC)

我有点疑惑是否不应该检查 RODC，因为我没想到自己会马上成为新服务器的“主人”。

Answer 1

如果启用此选项，则减少功能：

• 默认情况下，dcpromo 将构建一个标准 DC​​，它将可写并保存 AD 数据库的完整副本。
• 启用“RODC”选项后，dcpromo 将构建一个受限制的 DC，它将是只读的，并且其数据库将省略一些域机密（例如管理员的密码哈希）。

您必须至少拥有一个正常的 DC，因此，除非您确实知道需要它，否则不要使用 RODC 选项。

请注意，Active Directory 是点对点的，因此新升级的 DC 不会接管其他 DC 的任何内容，也不会以任何方式自动降级它们。定期复制在所有方向上进行，但 FSMO 角色除外 - 如果您计划关闭之前的 DC，则必须手动转移这些角色。

编辑：我完全忘记了降级 DC 是一回事。所以，是的，在关闭旧 DC 之前将其降级（新 DC 在线），这样应该可以解决所有问题。