La política de replicación de contraseñas  o Password Replication Policy (PRP) indica qué credenciales de usuarios se cachearan en los controladores de dominio de sólo lectura o Read Only Domain Controller (RODC) basados en Windows Server 2008 o Windows 2008 R2. Esto es necesario cuando tenemos delegaciones en nuestra empresa y queremos poner un RODC en las delegaciones con las funciones que nos interesen y a parte permita que los usuarios se autentiquen en estos DC y el proceso de autenticación sea más rápido ya que no se genera tráfico por la WAN con este tipo de tráfico.

Para facilitar la administración de qué usuarios queremos que se cacheen en los RODC y cuáles no, tenemos dos grupos en nuestro dominio que  nos ayudarán:
Grupo de replicación de contraseña RODC permitida  o Allowed RODC Password Replication Group: Por defecto este grupo no tiene miembros y todos los que agreguemos a esta lista se cachearán en nuestros RODC para poder autenticarlos directamente desde los RODC.
Grupo de replicación de contraseña RODC denegada  o Denied RODC Password Replication Group: Agregaremos a este grupo los usuarios/grupos que no queramos que nos cachee sus credenciales, por defecto a este grupo pertenecen: Administradores de dominio, Administradores de Esquema, Administradores de organización, Controladores de dominio, Controladores de dominio de sólo lectura, Propietarios del creador de directivas de grupo y Publicadores de certificados.

Si vamos al servidor RODC, a sus propiedades en su cuenta del Directorio Activo, tenemos la pestaña de “Directiva de replicación de contraseñas” para configurar también desde aquí o para ver la configuración existente. Si vamos al botón “Opciones avanzadas…”

Tenemos un par de pestañas “Uso de directivas” y “Directiva resultante”, donde podremos ver los usuarios que ya se han autenticado en este servidor, o las cuentas que tenemos ya cacheadas en este servidor RODC, o podemos cachear desde aquí ciertas cuentas de usuario (forzado).