Aby użytkownicy domeny Active Directory w oddziale firmy mogli logować się do komputerów także podczas awarii łącza WAN z centralą, a w oddziale nie przechowywano zapisywalnej kopii bazy domeny, należy zainstalować w oddziale
A. serwer plików
B. kontroler domeny tylko do odczytu (RODC)
C. serwer DHCP
D. serwer WSUS
Kontroler domeny tylko do odczytu, czyli RODC, jest tu najlepszym rozwiązaniem, bo dokładnie pasuje do sytuacji oddziału firmy połączonego z centralą przez WAN. RODC przechowuje replikę bazy Active Directory, ale w trybie tylko do odczytu. Dzięki temu użytkownicy mogą logować się lokalnie w oddziale nawet wtedy, gdy łącze WAN do centrali padnie albo działa bardzo wolno. To jest bardzo praktyczne, bo uwierzytelnianie nie musi za każdym razem iść do głównego kontrolera domeny w centrali. Jednocześnie w oddziale nie ma zapisywalnej kopii katalogu, więc ryzyko jest mniejsze, szczególnie gdy serwer stoi w miejscu słabiej chronionym fizycznie, np. w małej serwerowni bez stałego nadzoru. RODC pozwala też stosować Password Replication Policy, czyli określać, których użytkowników hasła mogą być buforowane lokalnie. Moim zdaniem to jedna z tych funkcji Active Directory, które świetnie pokazują różnicę między zwykłym postawieniem serwera a sensownym projektowaniem infrastruktury. Dobra praktyka jest taka, aby RODC stosować w oddziałach, gdzie potrzebna jest ciągłość logowania i szybki dostęp do usług domenowych, ale nie chcemy pełnego kontrolera domeny z możliwością zapisu. DHCP rozdaje adresy IP, WSUS aktualizuje systemy, serwer plików przechowuje dane, ale żaden z nich nie rozwiązuje problemu lokalnego uwierzytelniania domenowego w bezpieczny sposób.
W tym pytaniu łatwo pomylić kilka różnych ról serwerowych, bo wszystkie mogą występować w oddziale firmy i każda z nich brzmi dość administracyjnie. Trzeba jednak złapać sedno: chodzi o logowanie użytkowników domeny Active Directory przy awarii WAN oraz o brak zapisywalnej kopii bazy domeny w oddziale. Serwer DHCP jest ważny, ale jego zadanie to przydzielanie konfiguracji sieciowej, na przykład adresu IP, maski, bramy domyślnej i serwerów DNS. Bez DHCP komputery mogą mieć problem z automatycznym uzyskaniem adresu, ale DHCP nie uwierzytelnia użytkowników domenowych i nie przechowuje informacji katalogowych Active Directory. To jest częsty błąd myślowy: skoro komputer musi dostać sieć, to DHCP wystarczy. Nie, do logowania domenowego potrzebne są usługi katalogowe i kontroler domeny albo mechanizmy poświadczeń podręcznych. Serwer plików także nie spełnia tego wymagania. On udostępnia zasoby, foldery, uprawnienia NTFS i udziały SMB, ale sam z siebie nie zastępuje kontrolera domeny. Może korzystać z Active Directory do kontroli dostępu, lecz nie zapewnia lokalnej repliki bazy domenowej. Serwer WSUS ma jeszcze inne przeznaczenie: służy do centralnego zarządzania aktualizacjami Windows i produktów Microsoft. Jest bardzo przydatny w większej sieci, bo ogranicza ruch do Internetu i pozwala kontrolować wdrażanie poprawek, ale nie ma związku z logowaniem użytkowników podczas awarii połączenia z centralą. W tej sytuacji potrzebny jest RODC, bo daje lokalne uwierzytelnianie i jednocześnie ogranicza ryzyko bezpieczeństwa. Z mojego doświadczenia wynika, że w projektowaniu AD zawsze warto rozdzielać role: adresacja to DHCP, aktualizacje to WSUS, dane to serwer plików, a uwierzytelnianie domenowe to kontroler domeny.