Нам нужно определить, почему pdc регистрирует больше неверных паролей, чем bdc, поэтому я хотел бы сначала узнать больше о том, как должны работать распространение / репликация, а затем устранить неполадки.
Прежде всего, если вы все еще используете Windows NT (единственный домен Windows со средой PDC / BDC), срок службы продукта истекает через несколько лет. В любом случае вся аутентификация выполняется PDC, поэтому распределения нагрузки на самом деле не существует.
Если вы на самом деле говорите о домене Active Directory, архитектура спроектирована таким образом, что все контроллеры домена на одном сайте AD считаются эквивалентными рабочими. Это результат того, как создаются записи DNS SRV. Когда системе AD требуются службы аутентификации, она запрашивает в DNS записи SRV серверов аутентификации на своем сайте AD. Обычно это (если не было сделано никаких манипуляций) циклический перебор контроллеров домена на сайте. Станции имеют тенденцию подключаться к одному DC и придерживаться его до тех пор, пока ему не понадобится аутентификация достаточно долго, чтобы истекли записи DNS или DC по какой-то причине не исчезнет.
Некоторое более старое программное обеспечение будет специально искать контроллер домена, выполняющий роль PDC, и проверять его подлинность. В наши дни это становится все реже.
События пароля и состояния учетной записи (отключение / блокировка) реплицируются так же немедленно, как это позволяет политика синхронизации. Все контроллеры домена на одном сайте должны получать уведомления об изменении пароля в очень короткие сроки, обычно менее чем за минуту; то же самое касается блокировки учетных записей и отключения / включения событий. Когда трафик проходит через сайт AD, политика репликации определяет, насколько быстро такие события будут распространяться.