Event ID 1926 AD: сбой связи репликации Read-Only DC (RODC) — решение
Симптомы ошибки репликации RODC (Event ID 1926)
В журнале Directory Service на контроллере домена только для чтения (RODC) или на его партнере репликации RWDC появляется ошибка: Event ID 1926: The attempt to establish a replication link for the following read-only directory partition failed.
| Симптом | Причина |
|---|---|
| RODC не получает обновления паролей | Сбой создания однонаправленной связи репликации |
| Отказ аутентификации пользователей филиала | Политика репликации паролей (Password Replication Policy) не применяется |
| Статус репликации: Access Denied (8453) | RWDC блокирует однонаправленный запрос от учетной записи RODC$ |
Пошаговое устранение сбоя связи RODC (Event ID 1926)
- Проверьте статус учетной записи компьютера RODC в группе Allowed RODC Password Replication Group:
# Проверка членства учетных записей в политике репликации паролей RODC:
Get-ADDomainController -Identity "RODC01" | Select-Object Name, IsReadOnly, ServerObjectBL
# Просмотр параметров PRP для данного RODC:
Get-ADAccountResultantPasswordReplicationPolicy -Identity "User01" -DomainController "RODC01"- Проверьте права учетной записи RODC$ на чтение разделов каталога: учетная запись
RODC01$должна обладать правомReplicating Directory Changesна корень домена. - Сбросьте и пересоздайте безопасный канал и связь репликации:
# Принудительное перестроение связей репликации для RODC:
repadmin /replicate RODC01 RWDC01 "DC=domain,DC=local" /force
# Проверка параметров безопасного канала:
nltest /server:RODC01 /sc_query:domain.local- Убедитесь в отсутствии блокировки однонаправленного трафика фаерволом: RODC инициирует исходящие соединения к RWDC по портам TCP 88, 135, 389, 445, 3268 и динамическому пулу RPC. Входящие подключения к RODC от RWDC не требуются.
Внимание: Репликация с RODC на другие контроллеры домена невозможна по дизайну архитектуры безопасности Microsoft — данные передаются строго в одну сторону (RWDC -> RODC).
Частые вопросы (FAQ)
Что такое RODC?
Read-Only Domain Controller — это контроллер домена только для чтения, развертываемый в филиалах с низким уровнем физической безопасности для исключения компрометации всей базы AD.
Может ли RODC реплицировать пароли администраторов домена?
По умолчанию нет. Встроенная группа 'Denied RODC Password Replication Group' строго запрещает кеширование учетных данных Domain Admins и Enterprise Admins на RODC.
Как предварительно заполнить (pre-populate) пароли для филиала на RODC?
В консоли Active Directory Users and Computers щелкните правой кнопкой на объекте RODC -> 'Password Replication Policy' -> 'Pre-populate Passwords'.
Какой код ошибки чаще всего сопровождает Event ID 1926?
Код 8453 (ERROR_DS_DRA_ACCESS_DENIED) или 5 (Access Denied) из-за проблем с правами учетной записи RODC.