Решение проблемы «The trust relationship between this workstation and the primary domain failed» без вывода ПК из домена

По самым разным причинам можно столкнуться с проблемой невозможности входа в систему на компьютере, включенном в домен. Если это происходит на обычном клиентском ПК — ничего не мешает вывести его из домена и добавить заново — проблема решается гарантированно. Но если дело касается сервера, на котором крутятся приложения, завязанные на AD — рисковать выводом сервера из домена не очень хочется. К счатью, способ «возврата» к нормальному состоянию есть.

Вообще, проблема с невозможностью залогиниться в домен с такой ошибкой, сопровождается записью в системном логе следующего содержания:

 This computer could not authenticate with DomainController’ a Windows domain controller for domain DOMAIN, and therefore this computer might deny logon requests. This inability to authenticate might be caused by another computer on the same network using the same name or the password for this computer account is not recognized. If this message appears again, contact your system administrator.

Т.е., как обычно у майкрософта, ничего конкретного о способах решения в ошибке не сказано. Корни проблемы уходят в доменную авторизацию: по умолчанию, пароль для учетной записи компьютера имеет срок жизни в 30 дней. Если ОС не связывалась с доменом в течение этого срока или, например, вы восстановили из бэкапа 30-дневной давности сервер/виртуалку — вы не сможете залогиниться на него под доменной учетной записью. Для исправления этой ситуации необходимо:

1. Залогиниться на сервер под локальной учетной записью с администраторскими полномочиями;

2. Выполнить команду klist purge для очистки кэша Kerberos на сервере.

3. Выполнить команду  «netdom resetpwd /s:x.x.x.x  /ud:domain\User /pd:*», где x.x.x.x — IP-адрес контроллера домена, domain\User — учетная запись администратора домена с указанием имени домена.

4. После запроса пароля — ввести пароль от учетной записи администратора домена.

5. Перезагрузить сервер и залогиниться под учетной записью администратора домена.

Если это не помогло — вам поможет только вывод компьютера из домена и повторное его туда включение. Или техподдержка Майкрософта :)

Решение проблемы «The trust relationship between this workstation and the primary domain failed» без вывода ПК из домена: 4 комментария

  1. Если ничего не путаю, то аналогичной эффект достигается сменой имени домена с fqdn на netbios (или наоборот, смотря как забито сейчас) в SystemPropertiesComputerName, вводом реквизитов и перезагрузкой.

    И если не включено злых политик с требованием доступности КД, то можно зайти под закешированной доменной учёткой выдернув сеть.

    1. Насчет смены имени домена с fqdn на netbios — не в курсе, не пробовал. Обычно на рабочих станциях такая проблема решается выводом из домена/вводом в домен. Этот краткий мануал для тех случаев, когда последствия такой операции неизвестны. Например, если на сервере крутится какой-нибудь sharepoint или MS CRM или еще какая-нибудь софтина, жестко привязанная к домену.

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *