Trong bài viết này, chúng tôi sẽ chỉ cách khắc phục mối quan hệ tin cậy bị hỏng giữa trạm làm việc và miền Active Directory khi người dùng không thể đăng nhập vào máy tính miền của họ. Hãy xem xét nguyên nhân gốc rễ của vấn đề và cách dễ dàng khôi phục tin cậy giữa máy tính và bộ điều khiển miền qua kênh an toàn mà không cần khởi động lại máy tính và tham gia lại miền.
Mối quan hệ tin cậy giữa trạm làm việc này và miền chính đã thất bại.
Vấn đề biểu hiện khi người dùng cố gắng đăng nhập vào trạm làm việc hoặc máy chủ thành viên sử dụng thông tin đăng nhập miền và lỗi sau xảy ra sau khi nhập mật khẩu:
The trust relationship between this workstation and the primary domain failed.
Lỗi cũng có thể trông như sau:
The security database on the server does not have a computer account for this workstation trust relationship.
Mật khẩu tài khoản máy tính (Computer) trong miền Active Directory
Khi máy tính tham gia miền Active Directory, một tài khoản máy tính riêng được tạo cho nó. Giống như người dùng, mỗi máy tính có mật khẩu riêng để xác thực máy tính trong miền và thiết lập kết nối tin cậy với bộ điều khiển miền. Tuy nhiên, khác với mật khẩu người dùng, mật khẩu máy tính được đặt và thay đổi tự động.
Dưới đây là những điểm quan trọng về mật khẩu tài khoản máy tính trong AD:
- Mật khẩu máy tính trong AD phải thay đổi định kỳ (mỗi 30 ngày mặc định). Mẹo. Bạn có thể cấu hình tuổi tối đa mật khẩu tài khoản máy tính bằng chính sách Domain member: Maximum machine account password age nằm ở Computer Configuration -> Windows Settings -> Security Settings -> Local Policies -> Security Options. Tuổi mật khẩu máy tính có thể từ 0 đến 999 ngày (30 ngày mặc định);
- Khác với mật khẩu người dùng, mật khẩu máy tính không bao giờ hết hạn. Việc thay đổi mật khẩu do máy tính khởi tạo, không phải bộ điều khiển miền. Mật khẩu máy tính không tuân theo chính sách mật khẩu miền; Ngay cả khi máy tính đã tắt 30 ngày hoặc hơn, bạn có thể bật nó, và nó sẽ được xác thực trên DC với mật khẩu cũ. Sau đó dịch vụ Netlogon cục bộ sẽ thay đổi mật khẩu máy tính trong cơ sở dữ liệu cục bộ (mật khẩu lưu trong registry
HKLM\SECURITY\Policy\Secrets\$machine.ACC) và sau đó cập nhật mật khẩu tài khoản máy tính trong Active Directory. - Mật khẩu máy tính được thay đổi trên DC gần nhất, các thay đổi không được gửi đến bộ điều khiển miền với vai trò PDC emulator FSMO (tức là, nếu máy tính đã thay đổi mật khẩu trên một DC, nó sẽ không thể xác thực trên DC khác cho đến khi thay đổi AD được複製).
Nếu hash mật khẩu mà máy tính gửi đến bộ điều khiển miền không khớp với mật khẩu tài khoản máy tính trong cơ sở dữ liệu AD, máy tính không thể thiết lập kết nối an toàn với DC và trả về lỗi kết nối tin cậy.
Tại sao vấn đề xảy ra:
- Máy tính đã được khôi phục từ điểm khôi phục cũ hoặc snapshot (trong trường hợp máy ảo) được tạo sớm hơn khi mật khẩu máy tính được thay đổi trong AD. Nếu bạn roll back máy tính về trạng thái trước, nó sẽ cố gắng xác thực trên DC dùng mật khẩu cũ. Đây là vấn đề điển hình nhất;
- Máy tính cùng tên đã được tạo trong AD, hoặc ai đó đã reset tài khoản máy tính trong miền bằng bảng điều khiển ADUC (
dsa.msc); - Tài khoản máy tính trong miền đã bị vô hiệu hóa bởi quản trị viên (ví dụ, trong quy trình định kỳ vô hiệu hóa đối tượng AD không hoạt động);
- Trường hợp hiếm khi khi thời gian hệ thống trên máy tính sai.
Cách cổ điển để sửa mối quan hệ tin cậy giữa máy tính và miền:
- Reset tài khoản máy tính trong AD;
- Chuyển máy tính từ miền sang workgroup dưới tài khoản administrator cục bộ;
- Khởi động lại;
- Tham gia lại máy tính vào miền;
- Khởi động lại máy tính lần nữa
Phương pháp này có vẻ đơn giản, nhưng nó cồng kềnh, yêu cầu ít nhất hai lần khởi động lại máy tính và mất 10-30 phút. Cũng có thể gặp vấn đề với việc sử dụng hồ sơ người dùng cục bộ cũ.
Có cách thông minh hơn để sửa mối quan hệ tin cậy bằng PowerShell mà không cần tham gia lại miền hoặc khởi động lại máy tính.
Kiểm tra và khôi phục mối quan hệ tin cậy giữa máy tính và miền dùng PowerShell
Nếu bạn không thể xác thực trên máy tính dưới tài khoản miền và lỗi sau xuất hiện: The trust relationship between this workstation and the primary domain failed, bạn cần đăng nhập vào máy tính dùng tài khoản administrator cục bộ. Bạn cũng có thể rút cáp mạng và xác thực trên máy tính với tài khoản miền đã đăng nhập gần đây dùng Cached Credentials.
Mở console PowerShell nâng cao và dùng cmdlet Test-ComputerSecureChannel kiểm tra xem mật khẩu máy tính cục bộ có khớp với mật khẩu lưu trong AD không.
Test-ComputerSecureChannel –verbose
Nếu mật khẩu không khớp và máy tính không thể thiết lập mối quan hệ tin cậy với miền, lệnh sẽ trả về False – The Secure channel between the local computer and the domain woshub.com is broken.
Để buộc reset mật khẩu tài khoản máy tính trong AD, chạy lệnh này:
Test-ComputerSecureChannel –Repair –Credential (Get-Credential)
Để reset mật khẩu, nhập thông tin đăng nhập của tài khoản người dùng có đặc quyền reset mật khẩu tài khoản máy tính. Người dùng phải được ủy quyền quyền quản lý máy tính trong Active Directory (bạn cũng có thể dùng thành viên nhóm Domain Admins).
Sau đó chạy Test-ComputerSecureChannel lại để đảm bảo nó trả về True (The Secure channel between the local computer and the domain woshub.com is in good condition).
Vậy mật khẩu máy tính đã được reset mà không cần khởi động lại hoặc tham gia lại miền thủ công. Bây giờ bạn có thể đăng nhập vào máy tính dùng tài khoản miền của mình.
Cũng để buộc reset mật khẩu, bạn có thể dùng cmdlet Reset-ComputerMachinePassword.
Reset-ComputerMachinePassword -Server mun-dc01.woshub.com -Credential woshub\adm_user1
mun-dc01.woshub.com là tên DC gần nhất để thay đổi mật khẩu máy tính.
Có giá trị reset mật khẩu máy tính mỗi lần trước khi tạo snapshot máy ảo hoặc điểm khôi phục máy tính. Sẽ dễ dàng hơn cho bạn roll back về trạng thái máy tính trước.
Nếu bạn có môi trường phát triển hoặc test, nơi bạn thường phải khôi phục trạng thái VM trước từ snapshot, bạn có thể muốn tắt thay đổi mật khẩu trong miền cho các máy tính này dùng GPO. Để làm vậy, đặt chính sách Domain member: Disable machine account password changes nằm ở Computer Configuration -> Policies -> Windows Settings -> Security Settings -> Local Policies -> Security Options. Bạn có thể nhắm chính sách đến OU chứa máy tính test hoặc dùng bộ lọc WMI GPO.
Dùng cmdlet Get-ADComputer (từ module Active Directory cho Windows PowerShell), bạn có thể kiểm tra ngày thay đổi mật khẩu máy tính gần nhất trong AD:
Get-ADComputer –Identity mun-wks5431 -Properties PasswordLastSet
Cmdlet Test-ComputerSecureChannel và Reset-ComputerMachinePassword có sẵn từ PowerShell 3.0. Bạn sẽ phải cập nhật phiên bản PowerShell trong Windows 7/Windows Server 2008 R2.
Bạn cũng có thể kiểm tra xem có kênh an toàn giữa máy tính và DC bằng lệnh:
nltest /sc_verify:woshub.com
Các dòng sau xác nhận tin cậy đã được sửa thành công:
Trusted DC Connection Status = 0 0x0 NERR_Success Trust Verification Status = 0 0x0 NERR_Success
Sửa tin cậy miền dùng Netdom
Trong Windows 7/2008R2 và các phiên bản Windows trước đó không có PowerShell 3.0, bạn không thể dùng Test-ComputerSecureChannel và Reset-ComputerMachinePassword để reset mật khẩu máy tính và sửa mối quan hệ tin cậy với miền. Trong trường hợp này, dùng công cụ netdom.exe để khôi phục kênh an toàn với bộ điều khiển miền.
Netdom có sẵn trong Windows Server 2008 trở lên, và có thể cài trên máy tính người dùng từ RSAT (Remote Server Administration Tools). Để sửa mối quan hệ tin cậy, đăng nhập dưới thông tin admin cục bộ (bằng cách gõ .\Administrator trên màn hình đăng nhập) và chạy lệnh sau:
Netdom resetpwd /Server:DomainController /UserD:Administrator /PasswordD:Password
- Server là tên bất kỳ bộ điều khiển miền khả dụng
- UserD là tên người dùng có quyền admin miền hoặc có đặc quyền ủy quyền trên OU chứa tài khoản máy tính
- PasswordD mật khẩu người dùng
Netdom resetpwd /Server:mun-dc01 /UserD:jsmith /PasswordD:Pra$$w0rd
Sau khi chạy lệnh, bạn không cần khởi động lại máy tính: chỉ cần đăng xuất và đăng nhập lại dùng tài khoản miền.
Như bạn thấy, sửa tin cậy giữa máy tính và miền khá dễ dàng.