RODC 在 PRP 拒絕規則下仍快取 Domain Admin 憑證

Yiplok Keung 40 信譽點數
2026-08-06T02:18:20.4633333+00:00

我們發現一部 RODC 仍然保留 Domain Admin 的快取憑證，即使該帳戶已明確被 Password Replication Policy (PRP) 拒絕。

拒絕規則已存在，並且已成功複寫。

該帳戶仍然出現在 RODC 的憑證快取中。

使用這些快取憑證進行驗證仍然成功。

要如何正確從 RODC 資料庫中移除這些快取憑證，並立即重新套用 Password Replication Policy 的強制執行？

Windows for business | Windows 365 商務版
0 則留言

1 個回答

排序依據： 最實用
最實用 最新 最舊
  1. Domic Vo 37,000 信譽點數 獨立顧問
    2026-08-06T05:27:05.7+00:00

    你好，

    這個情況通常是因為 RODC 的快取資料庫並不會自動清除已經存在的憑證，即使後續的 Password Replication Policy (PRP) 已經更新為拒絕該帳戶。PRP 的拒絕規則只會阻止新的快取發生，但不會 retroactively 移除已經存在的快取憑證。因此必須手動清除。

    正確的做法是在 RODC 上使用 repadmin 或 Active Directory Users and Computers (ADUC) 來移除快取憑證。最直接的方式是執行：

    repadmin /prp <RODCName> -del <AccountName>

    這會從指定的 RODC 的密碼快取中移除該帳戶的憑證。另一個方法是透過 ADUC，找到該 RODC 的電腦物件，進入 Password Replication Policy，在 Advanced 裡面選擇 Accounts that have their passwords cached on this RODC，然後手動移除該帳戶。完成後，該帳戶的快取憑證會立即被刪除，後續的驗證將會回到 RWDC 進行，而不再使用 RODC 的快取。

    如果要強制立即套用 PRP，可以在 RWDC 上執行：

    repadmin /syncall /AdeP

    確保最新的 PRP 設定已經複寫到所有 DC。之後再確認 RODC 的快取清單，確保該帳戶已經不在其中。這樣就能同時解決快取殘留與 PRP 強制執行的問題。

    我希望這裡的說明能幫你釐清為什麼快取仍然存在，以及如何正確清除並強制套用策略。我希望你已經找到一些有用的資訊。如果這能幫助你更深入了解問題，請接受這個答案。如果還有其他問題，隨時留言。祝你有美好的一天!

    DV.

    此回答有幫助嗎？

    0 則留言

您的回答

答案可由問題作者標示為「已接受」，而由仲裁者標示為「推薦」，這可協助使用者知道答案解決了作者的問題。