如果可写 DC 几个月内不可用，我可以使用 RODC 进行 Active Directory 身份验证吗？

Question

我们在家庭办公室运行一个读写 DC，当我们在那里工作时，我们会使用它进行身份验证。只要我们在办公室，它就可以正常工作，但我们将在路上行驶几个月，而我们办公室的 IT 基础设施在此期间必须处于离线状态。

我读过几次书说将 DC 暴露给互联网不是一个好主意，所以我考虑在云服务器上设置 RODC 并在那里缓存一些凭据。

如果可写 DC 处于离线状态几个月，我是否能够通过 RODC 进行身份验证？我担心我的凭据可能一开始被缓存，但稍后会过期。

Answer 1

在我看来，Nathan 是对的，但我会回答你真正的“问题”：

我读过几次书说将 DC 暴露给互联网不是一个好主意，所以我考虑在云服务器上设置 RODC 并在那里缓存一些凭据。

RODC 仍需与总部的 DC 进行复制。而云服务器本身要么必须暴露在互联网上，要么您必须设置到该云实例的隧道（这进一步支持了 Nathan 的评论）。

如果可写 DC 处于离线状态几个月，我是否能够通过 RODC 进行身份验证？我担心我的凭据可能一开始被缓存，但稍后会过期。

如果 RODC 无法从 RWDC 获取复制，则只有在 RODC 能够与 RWDC 通信时通过 RODC 身份验证的用户的缓存帐户凭据才允许登录。

说实话，Nathan 是对的……或者一开始就用缓存的凭证登录笔记本电脑……如果你没有连接到网络，笔记本电脑仍然会接受你缓存的凭证。但是，如果你在 30 天内没有联系 DC（默认情况下），那么当你返回时可能会遇到问题，因为工作站的帐户本身与域存在信任关系问题。