İş İstasyonu ve AD Etki Alanı Arasındaki Bozuk Güven İlişkisini Onarma

Bu makalede, bir kullanıcı etki alanındaki bilgisayarda oturum açamadığında, bir iş istasyonu ile Active Directory etki alanı arasında bozulan bir güven ilişkisinin nasıl düzeltileceğini göstereceğiz. Sorunun temel nedenini ve bilgisayar ile etki alanı denetleyicisi arasındaki güveni, bilgisayarı yeniden başlatmadan ve etki alanına yeniden katılmadan güvenli bir kanal üzerinden onarmanın kolay yolunu ele alalım.

Bu İş İstasyonu ile Birincil Etki Alanı Arasındaki Güven İlişkisi Başarısız Oldu.

Sorun, bir kullanıcı etki alanı kimlik bilgilerini kullanarak iş istasyonunda veya üye sunucuda oturum açmaya çalıştığında ve parolayı girdikten sonra aşağıdaki hata oluştuğunda kendini gösterir:

The trust relationship between this workstation and the primary domain failed.

Hata şu şekilde de görünebilir:

The security database on the server does not have a computer account for this workstation trust relationship.

Active Directory Etki Alanındaki Makine (Bilgisayar) Hesap Parolası

Bir bilgisayar bir Active Directory etki alanına katıldığında, onun için ayrı bir bilgisayar hesabı oluşturulur. Kullanıcılar gibi, her bilgisayarın etki alanındaki bilgisayarın kimliğini doğrulamak ve etki alanı denetleyicisiyle güvenilir bir bağlantı kurmak için kendi parolası vardır. Ancak kullanıcı parolalarından farklı olarak bilgisayar parolaları otomatik olarak belirlenir ve değiştirilir.

AD'deki bilgisayar hesabı parolaları hakkında bazı önemli şeyler şunlardır:

• AD'deki bilgisayar parolaları düzenli olarak değiştirilmelidir (varsayılan olarak 30 günde bir).

  İpucu. Bilgisayar Yapılandırması-> Windows Ayarları-> Güvenlik Ayarları-> Yerel altında bulunan Etki alanı üyesi: Maksimum makine hesabı parolası yaşı ilkesini kullanarak maksimum bilgisayar parolası yaşını yapılandırabilirsiniz. Politikalar-> Güvenlik Seçenekleri. Bir bilgisayar parolasının ömrü 0 ile 999 gün arasında olabilir (varsayılan olarak 30 gün);

  

• Kullanıcı parolalarının aksine, bir bilgisayar parolasının süresi dolmaz. Parola değişikliği, etki alanı denetleyicisi tarafından değil, bilgisayar tarafından başlatılır. Bir bilgisayar parolası, etki alanı parola ilkesine tabi değildir;

  Bir bilgisayar 30 gün veya daha uzun süre kapalı kalsa bile açabilirsiniz ve DC'nizde eski parolasıyla kimlik doğrulaması yapılır. Ardından, yerel Netlogon hizmeti, yerel veritabanındaki bilgisayar parolasını değiştirir (parola, kayıt defterinde depolanır)

  HKLM\SECURITY\Policy\Secrets\$machine.ACC

  ) ve ardından Active Directory'deki bilgisayar hesabı parolasını güncelleyecektir.

• Bir bilgisayar parolası en yakın DC'de değiştirilir, değişiklikler PDC öykünücüsü FSMO rolüyle etki alanı denetleyicisine gönderilmez (yani, bir bilgisayar bir DC'de parolasını değiştirirse, başka bir DC'de kimlik doğrulaması yapamaz. AD değişiklikleri kopyalanana kadar).

Bilgisayarın etki alanı denetleyicisine gönderdiği parolanın karması, AD veritabanındaki bilgisayar hesabı parolasıyla eşleşmezse, bilgisayar DC ile güvenli bağlantı kuramaz ve güvenilir bağlantı hatası verir.

Sorun neden oluşur:

1. Bir bilgisayar eski bir geri yükleme noktasından veya AD'de bilgisayar parolası değiştirilmeden önce oluşturulan bir anlık görüntüden (sanal makine olması durumunda) geri yüklenmiştir. Bilgisayarı önceki durumuna geri döndürürseniz, eski parolasını kullanarak DC'de kimlik doğrulaması yapmaya çalışır. En tipik sorundur;

2. AD'de aynı ada sahip bir bilgisayar oluşturulmuş veya birisi ADUC konsolunu kullanarak etki alanındaki bilgisayar hesabını sıfırlamış (

   dsa.msc

   );

   

3. Etki alanındaki bilgisayar hesabı yönetici tarafından devre dışı bırakıldı (örneğin, etkin olmayan AD nesnelerini devre dışı bırakmaya yönelik normal bir prosedür sırasında);

4. Bir bilgisayardaki sistem saatinin yanlış olduğu oldukça nadir bir durum.

Bilgisayar ve etki alanı arasındaki güven ilişkisini onarmanın klasik yolu şu şekildedir:

1. AD'deki bilgisayar hesabını sıfırlayın;

2. Bilgisayarı etki alanından yerel yönetici altındaki bir çalışma grubuna taşıyın;

3. yeniden başlat;

4. Bilgisayarı etki alanına yeniden katılın;

5. Bilgisayarı tekrar yeniden başlatın

Yöntem basit görünüyor, ancak çok beceriksiz, bilgisayarın en az iki kez yeniden başlatılmasını gerektiriyor ve 10-30 dakika sürüyor. Ayrıca eski yerel kullanıcı profillerini kullanırken sorunlarla karşılaşabilirsiniz.

Etki alanına yeniden katılmadan veya bilgisayarı yeniden başlatmadan PowerShell kullanarak güven ilişkisini onarmanın daha akıllı bir yolu var.

PowerShell Kullanarak Bilgisayar ve Etki Alanı Arasındaki Güven İlişkisini Kontrol Edin ve Geri Yükleyin

Bir etki alanı hesabı altındaki bir bilgisayarda kimlik doğrulaması yapamıyorsanız ve aşağıdaki hata görüntülenirse: Bu iş istasyonu ile birincil etki alanı arasındaki güven ilişkisi başarısız oldu, yerel yönetici hesabınızı kullanarak bilgisayarda oturum açmanız gerekir. Ayrıca ağ kablosunu çıkarabilir ve önbelleğe alınmış kimlik bilgilerini kullanarak yakın zamanda bilgisayarda oturum açmış olan etki alanı hesabıyla bilgisayarda kimlik doğrulaması yapabilirsiniz.

Yükseltilmiş PowerShell konsolunu açın ve Test-ComputerSecureChannel cmdlet'i kullanarak yerel bilgisayar parolasının AD'de depolanan parolayla eşleştiğinden emin olun.

Test-ComputerSecureChannel -verbose

Parolalar eşleşmezse ve bilgisayar etki alanı ile güven ilişkisi kuramazsa, komut False döndürür -

The Secure channel between the local computer and the domain a-d.site is broken

AD'de bilgisayar hesabı parolasını sıfırlamaya zorlamak için şu komutu çalıştırın:

Test-ComputerSecureChannel -Repair -Credential (Get-Credential)

Parolayı sıfırlamak için, bilgisayar hesabı parolasını sıfırlama ayrıcalığına sahip bir kullanıcı hesabının kimlik bilgilerini girin. Kullanıcıya, Active Directory'deki bilgisayarları yönetme izinleri verilmiş olmalıdır (bir Domain Admins grup üyesi de kullanabilirsiniz).

Ardından, True (

The Secure channel between the local computer and the domain a-d.site is in good condition

).

Bu nedenle bilgisayar parolası, yeniden başlatma veya manuel etki alanı yeniden birleştirme işlemi olmadan sıfırlandı. Artık etki alanı hesabınızı kullanarak bilgisayarda oturum açabilirsiniz.

Reset-ComputerMachinePassword -Server mun-dc01.a-d.site -Credential a-d\adm_user1

mun-dc01.a-d.site

Get-ADComputer cmdlet'ini kullanarak (Windows PowerShell için Active Directory modülünden), AD'deki son bilgisayar parolası değişikliğinin tarihini kontrol edebilirsiniz:

Get-ADComputer -Identity mun-wks5431 -Properties PasswordLastSet

Bu komutu kullanarak bir bilgisayar ile bir DC arasında güvenli bir kanal olup olmadığını da kontrol edebilirsiniz:

nltest /sc_verify:a-d.site

Aşağıdaki satırlar, güvenin başarıyla onarıldığını onaylar:

Trusted DC Connection Status = 0 0x0 NERR_Success
Trust Verification Status = 0 0x0 NERR_Success

Netdom Kullanarak Etki Alanı Güvenini Onarın

Windows 7/2008R2'de ve PowerShell 3.0 içermeyen önceki Windows sürümlerinde, bir bilgisayar parolasını sıfırlamak ve etki alanıyla güven ilişkisini onarmak için Test-ComputerSecureChannel ve Reset-ComputerMachinePassword cmdlet'lerini kullanamazsınız. Bu durumda,

netdom.exe

etki alanı denetleyicisi ile güvenli bir kanalı geri yüklemek için araçlar.

Netdom, Windows Server 2008 veya daha yenisine dahildir ve kullanıcıların bilgisayarlarına RSAT'tan (Uzak Sunucu Yönetim Araçları) yüklenebilir. Güven ilişkisini onarmak için yerel yönetici kimlik bilgileriyle oturum açın (oturum açma ekranına .\Administrator yazarak) ve aşağıdaki komutu çalıştırın:

Netdom resetpwd /Server:DomainController /UserD:Administrator /PasswordD:Password

The machine account password for the local machine has successfully reset.

• Sunucu, kullanılabilir herhangi bir etki alanı denetleyicisinin adıdır

• UserD, bilgisayar hesabını içeren kuruluş biriminde etki alanı yöneticisi izinlerine veya yetki verilmiş ayrıcalıklara sahip kullanıcının adıdır

• PasswordD kullanıcı şifresi

Netdom resetpwd /Server:mun-dc01 /UserD:jsmith /PasswordD:Pra$$w0rd

Komutu çalıştırdıktan sonra, bilgisayarı yeniden başlatmanız gerekmez: sadece oturumu kapatın ve etki alanı hesabınızı kullanarak tekrar oturum açın.

Gördüğünüz gibi, bir bilgisayar ile bir etki alanı arasındaki güveni onarmak oldukça kolaydır.