Der Unterschied zwischen einer beschreibbaren und nur lesbaren Verzeichnispartition (auf Englisch Naming Context, kurz NC) liegt im Attribut instanceType. Dieses Attribut besteht aus einer Bitmaske und existiert in den Eigenschaften jeder Verzeichnispartition. Ist das dritte Bit (Hex = 0x4; Dezimal = 4) im Attribut instanceType, in den Eigenschaften einer Verzeichnispartition auf einem DC gesetzt, so ist die Verzeichnispartition auf diesem DC beschreibbar. Falls das dritte Bit nicht gesetzt ist, ist die Verzeichnispartition auf diesem DC nur lesbar.

Da ein Read-Only Domänencontroller (RODC) nur einen lesenden Zugriff auf die Active Directory-Datenbank (NTDS.DIT) und somit auf alle Verzeichnispartitionen hat, ist logischerweise in allen Verzeichnispartitionen die sich auf einem RODC befinden das dritte Bit in instanceType nicht gesetzt!

Auch in den fremden Domänenpartitionen die sich im globalen Katalog befinden, ist das dritte Bit in instanceType nicht gesetzt!

Überprüfen kann man das mit dem Schweizer Messer Werkzeug für die AD-Replikation Repadmin. Führt man den Befehl Repadmin /showrepl /verbose in der Kommandozeile aus, erhält man solch eine Ausgabe:

In der Ausgabe werden alle Verzeichnispartitionen aufgelistet, die der DC repliziert. Die Verzeichnispartitionen in denen der DC das Schreibrecht besitzt, sind mit WRITEABLE gekennzeichnet. Die Verzeichnispartitionen in der der DC lediglich das Leserecht besitzt, sind nicht mit WRITEABLE gekennzeichnet.

Ob eine Verzeichnispartition auf einem bestimmten DC nur lesbar oder beschreibbar ist, kann man mit dem folgenden AD-PowerShellskript überprüfen:

######################################################

#

# AD-PowerShellskript zum überprüfen ob eine Verzeichnispartition

# nur lesbar oder beschreibbar ist.

#

# Von: Yusuf Dikmenoglu 05/2011

#

# http://blog.dikmenoglu.de

#

######################################################

# Hier den distinguishedName der entsprechenden Verzeichnispartition (= NC = Naming Context) angegeben
$searchbase = “DC=ad2008R2,DC=dikmenoglu,DC=de”
# Wenn man einen NC von einem globalen Katalog (GC) abfragen möchte, muss man bei “-Server” den FQDN

# des DCs und den GC-Port angeben. Also: “R2DCON01.ad2008R2.dikmenoglu.de:3268″
Get-ADObject -Server R2DCON01 -LDAPFilter “(instanceType=*)”  -SearchBase $Searchbase -SearchScope base -Properties instanceType | ForEach-Object {

      if ($_.instanceType -band 4){

            write-host $_.ncName “Beschreibbare Verzeichnispartition: $Searchbase”

      }

      else{

            write-host $_.ncName “Lesbare Verzeichnispartition: $Searchbase”

      }

}

Weitere Informationen:
Welche Verzeichnispartitionen befinden sich auf einem DC?
Instance-Type Attribute
Read-Only Domain Controller (RODC)