RODC в AD

[Alex9]

Контроллер домена RODC (только для чтения) не подключает пользователей - требует главный сервер (с ролями).
А по структуре сети не могу ему это позволить. Только репликацию с дополнительного контроллера.
Пробовал подключать через djoin. Подключает комп, но все равно требует главный контроллер.
Не верится что нет выхода.
Прошу помощи.

[Retif]

Пользователй или компьютеров все же?

Тут почитайте: https://gallery.technet.microsoft.com/Domain-Join-through-an-9a010eb5

[Alex9]

Компьютеры нормально вводятся утилитой djoin, но при попытке входа доменным пользователем - "дайте основной контроллер". При этом репликация данных на RODC с дополнительного контроллера проходит нормально.

[Retif]

А эти пользователи приличествуют в закешированных учетках? Первый раз в любом случае нужна связь с DC, чтобы закешировать пароли.

[Alex9]

Есть связь RODC с дополнительным контроллером домена, который связан с основным контроллером. Все репликации проходят. И комп и пользователь стоят в группе репликации на RODC и вся инфа нормально реплицируется. Но войти доменным пользователем не получается - требует основной контроллер.
В чем же тогда смысл RODC, если доступ к основному контроллеру все равно нужен?
Может есть способ обойти проблему? Например утилита djoin вполне нормально добавляет компы. Почему учетка не может нормально прокешироваться?

[Retif]

И комп и пользователь стоят в группе репликации на RODC и вся инфа нормально реплицируется.

В AD > свойства RODC > вкладка Password Replication Policy > Advanced. Выбрать из списка, если не выбрано:
Accounts whose password are stored on this Read-only domain controller. Там ваш пользователь есть или нет?

Насчет зачем нужен, почитайте например здесь:
http://winitpro.ru/index.php/2010/11/21/rabota-s-kontrollerami-domena-read-only-rodc-chast-1/
http://winitpro.ru/index.php/2010/11/24/rabota-s-read-only-domain-controller-chast-2/
http://winitpro.ru/index.php/2010/11/28/rabota-s-read-only-domain-controller-chast-3/

Надеюсь, после этого все вопросы отпадут.

Updated: 18 June 2019, 16:21:18
Вот еще хорошая картинка, как происходит процесс аутентификации на RODC:

Отсюда: https://www.itprotoday.com/windows-78/configure-credential-caching-rodc-windows-server-2016

[Triangle]

Retif, А при смене пароля, снова понадобиться обязательно канал между DC и RODC?

[Alex9]

Насчет зачем нужен, почитайте например здесь:
http://winitpro.ru/index.php/2010/11/21/rabota-s-kontrollerami-domena-read-only-rodc-chast-1/
http://winitpro.ru/index.php/2010/11/24/rabota-s-read-only-domain-controller-chast-2/
http://winitpro.ru/index.php/2010/11/28/rabota-s-read-only-domain-controller-chast-3/

Надеюсь, после этого все вопросы отпадут.

Updated: 18 June 2019, 16:21:18
Вот еще хорошая картинка, как происходит процесс аутентификации на RODC:

Отсюда: https://www.itprotoday.com/windows-78/configure-credential-caching-rodc-windows-server-2016

Картинка показательна и эти статьи читал. В том то и дело что с RODC доступен один из пишущих DC, но не основной.
А RODC смерть как нужен именно основной.
Может поможет пункт на RODC создать предварительные пароли?
Очень не хочется RODCы переделывать на пишущие контроллеры. Тем более что при этом возникнут проблемы репликацией между большим количеством контроллеров.

[Retif]

В том то и дело что с RODC доступен один из пишущих DC, но не основной.

Не знаю, что там за основной, но вообще за смену паролей и прочие с ними операции отвечает PDC эмулятор. Подозреваю, что именно к нему доступ и нужен.

Updated: 18 June 2019, 19:10:54

Retif, А при смене пароля, снова понадобиться обязательно канал между DC и RODC?

Подозреваю, что да. Там же старый пароль закеширован, новый откуда он узнает?

З.Ы.

PDC Emulator
Отвечает за изменение паролей и отслеживает блокировки пользователей при ошибках паролей. Пароль, измененный любым другим контроллером домена, первым делом реплицируется на PDC Emulator. Если аутентификация на любом другом контроллере домена не была успешной, запрос повторяется на PDC Emulator. При успешной аутентификации учетной записи сразу после неудачной попытки, PDC Emulator о ней уведомляется и сбрасывает счетчик неудачных попыток в ноль. Важно заметить, что в случае недоступности PDC Emulator информация об изменении пароля всё равно распространится по домену, просто произойдет это несколько медленнее.

Updated: 18 June 2019, 19:27:53

Может поможет пункт на RODC создать предварительные пароли?

Ну если на время создания обеспечить доступность PDC-эмулятора - почему нет?