L’authentification sélective sur une approbation de forêt échoue si basée sur Windows Server 2008 R2 RODC et RWDC sont impliqués dans le processus d’authentification

Symptômes

Considérez le scénario suivant :

• Vous activez l’authentification sélective sur une approbation entre deux forêts Active Directory.

• Vous utilisez un compte d’utilisateur pour accéder à un serveur de ressources dans une autre forêt Active Directory d’une forêt Active Directory.

• L’authentification NTLM est utilisée dans et entre les deux forêts Active Directory.

• Le serveur de ressources a un canal de sécurité à un contrôleur de domaine en lecture seule basé sur Windows Server 2008 R2 (RODC).

• Il n’existe aucun contrôleur de domaine en lecture/écriture (RWDC) sur le site le plus proche dans le RODC.

• Le mot de passe du serveur de ressource est modifié.

Dans ce scénario, l’authentification sélective sur l’approbation de forêt échoue. Vous pouvez rencontrer des échecs d’authentification différents. Voici quelques exemples :

• Lorsque vous accédez à serveur de ressources, le message d’erreur suivant s’affiche :

  Accès refusé

• Vous êtes invité à plusieurs reprises à entrer votre nom d’utilisateur et le mot de passe.

Cause

Ce problème se produit car le RODC n’a pas de mot de passe du serveur de ressources au moment de l’authentification.

Lorsque le RODC effectue la vérification de l’authentification sélective, il essaie de lire tous les attributs Active Directory de l’objet ordinateur du serveur ressource. Toutefois, comme le RODC ne peut pas récupérer le mot de passe du serveur de ressources, cela provoque un échec de l’authentification.

Résolution

Solution de contournement

Vous pouvez utiliser une des deux méthodes suivantes pour contourner ce problème :

• Désactiver les modifications de mot de passe de compte pour les ordinateurs qui utilisent un RODC pour leur canal de sécurité.

• Modifier la topologie de site de sorte qu’il existe un RWDC dans le site le plus proche dans le RODC.

État

Microsoft a confirmé l'existence de ce problème dans les produits Microsoft répertoriés dans la section « S'applique à ».

Plus d'informations

Le RODC prend en charge les modifications de mot de passe pour les comptes d’utilisateur sur le canal sécurisé de netlogon. Le RODC transmet la demande de modification de mot de passe pour une RWDC lorsque le mot de passe du compte d’ordinateur est modifié. Lors de la modification du mot de passe réussit, le RODC tente d’opportuniste répliquer le nouveau mot de passe. Toutefois, la tentative de réplication ne peut pas cibler la même RWDC à laquelle la demande de modification de mot de passe est transférée.

Bien que le RODC dispose de son propre canal de sécurité existant avec un RWDC sur laquelle se produit la modification du mot de passe, la RWDC ciblé par la tentative de réplication est sélectionnée en utilisant le mécanisme de DClocator. Dans la plupart des topologies de site, c’est pourquoi le même contrôleur de domaine qui est utilisé pour la tentative de réplication à être la cible de canal de sécurité en cours. Toutefois, s’il n’existe aucune RWDC dans le même domaine dans le site le plus proche dans le RODC, la tentative de modification et de la réplication de mot de passe peut se produire par rapport à l’autre RWDCs.

Pour plus d'informations sur la terminologie de mise à jour logicielle, cliquez sur le numéro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft :

Description 824684 terminologie standard utilisée pour décrire les mises à jour logicielles de Microsoft

Pour plus d’informations sur la façon d’activer l’authentification sélective sur une approbation de forêt, reportez-vous au site Web de Microsoft suivant :

Informations générales sur la façon d’activer l’authentification sélective sur une approbation de forêtPour plus d’informations sur la façon de configurer l’authentification sélective, visitez le site Web Microsoft suivant :

Informations générales sur la façon de configurer l’authentification sélective