RODC部署需先有WDC且森林功能级别≥2008；必须满足复制正常、已加域且DNS指向WDC、本地管理员属Domain Admins、防火墙放行指定端口4项条件；PowerShell部署须用-ReadOnlyReplica:$true开关并提供Enterprise Admins凭据。
rodc 不能单独部署，必须先有可写域控制器（wdc），且森林功能级别至少为 windows server 2008 —— 这是硬性前提，跳过会直接失败。
RODC 部署前必须验证的 4 个条件
很多部署卡在 DCPROMO 或 AD DS 安装阶段，本质是前置检查没过：
-
repadmin /replsummary必须显示所有现有 DC 复制正常，尤其不能有ERROR_ACCESS_DENIED或RPC server unavailable - 目标服务器需加入域，且 DNS 指向已有 WDC（不能指向自身或公网 DNS）
- 本地管理员账户必须是域中
Domain Admins组成员（临时加，部署完可移出） - 防火墙必须放行
LDAP (389)、LDAPS (636)、Kerberos (88)、GC (3268)端口，RODC 默认不监听Netlogon (445)写入端口
使用 dcpromo 命令行静默部署 RODC（推荐）
图形化向导容易漏选“只读”选项，命令行更可控。注意：Windows Server 2012+ 已弃用 dcpromo，改用 Install-ADDSDomainController PowerShell cmdlet：
Install-ADDSDomainController ` -NoRebootOnCompletion:$false ` -InstallDns:$true ` -CreateDnsDelegation:$false ` -DatabasePath "C:\Windows\NTDS" ` -LogPath "C:\Windows\NTDS" ` -SysvolPath "C:\Windows\SYSVOL" ` -ReadOnlyReplica:$true ` -Credential (Get-Credential) ` -Force:$true
关键点：
-
-ReadOnlyReplica:$true是核心开关，漏写就变成普通 DC -
-Credential必须提供具有Enterprise Admins权限的账户（非本地管理员） -
-Force:$true跳过交互确认，但不会跳过前置校验 —— 校验失败仍报错退出
RODC 密码复制策略（PRP）配置要点
默认 RODC 不缓存任何用户密码，所有认证都转发到 WDC，这导致网络中断时登录失败。需显式配置哪些账户允许缓存：
- 在“Active Directory 用户和计算机”中，右键 RODC → “属性” → “密码复制策略”选项卡
- 添加到
Allowed RODC Password Replication Group的用户/组，其密码哈希才可能被缓存；添加到Denied RODC Password Replication Group的（如Domain Admins）强制禁止缓存 - 策略生效需等待复制周期（默认 1 小时），也可手动触发：
repadmin /rodcpwdrepl - 缓存行为不可逆：一旦密码被 RODC 缓存，即使从 PRP 中移除该用户，已缓存的哈希仍保留在 RODC 的
NTDS.dit中，直到执行repadmin /clearcache
RODC 最容易被忽略的是“账户密码缓存”与“Kerberos TGT 加密类型”的耦合关系：如果客户端请求的是 AES256 TGT，而 RODC 本地没缓存该用户 AES 密钥（仅缓存了 RC4），认证就会回退到 WDC —— 这种隐式降级行为不会报错，但会让“本地缓存”形同虚设。
