Почему я могу создать объекты на своем контроллере домена только для чтения?

Ваша оснастка ADUC или Центр администрирования AD (в зависимости от того, что вы используете), вероятно, автоматически подключается к вашему контроллеру домена с возможностью записи. В ADUC щелкните правой кнопкой мыши домен, выберите «Изменить контроллер домена» и наведите его на свой RODC. После этого вы не сможете создавать объекты.