Архив рубрики: Active Directory

Исправление ошибки TPM 80090016 в Windows

Active Directory, Windows,

TPM-модуль все чаще используется в странах бывшего СССР в связке с шифрованием дисков при помощи Bitlocker. С его использованием периодически возникают некоторые проблемы, которые на первый взгляд выглядят очень страшно: например, ошибка, которая прямо нам заявляет «Your computer’s Trusted Platform Module has malfunctioned».

Итак, если ваш компьютер/ноутбук входит в AD и вы получили эту ошибку, например, при первоначальной активации офиса или MS Teams — проверьте связь с доменом. Если вы не находитесь в корпоративной сети — подключитесь к корпоративному VPN (у вас же есть такая возможность?) и попробуйте активировать офис снова. Скорее всего это решит вашу проблему.

А вот если такая ошибка выскочила «на пустом месте» при очередном запуске ПО от MS и внезапном запросе авторизации, чего обычно не случается при работе под доменной учеткой — связь с доменом скорее всего не поможет. Если это ваш случай (и TPM-модуль не вышел из строя) — попробуйте зайти на это устройство с другой учеткой с правами локального администратора (предварительно выполнив Logout из проблемной) и переименовать директорию C:\Users\<username>\AppData\Local\Packages\Microsoft.AAD.BrokerPlugin_cw5n1h2txyewy например в C:\Users\<username>\AppData\Local\Packages\Microsoft.AAD.BrokerPlugin_cw5n1h2txyewy.old (где <username> — логин учетной записи, в которой наблюдаются проблемы). Затем снова войдите под проблемной учеткой, подключитесь к корпоративной сети и попробуйте залогиниться в офисное приложение — проблема должна исчезнуть.

Решение проблемы «The trust relationship between this workstation and the primary domain failed» без вывода ПК из домена

Active Directory, Windows,

По самым разным причинам можно столкнуться с проблемой невозможности входа в систему на компьютере, включенном в домен. Если это происходит на обычном клиентском ПК — ничего не мешает вывести его из домена и добавить заново — проблема решается гарантированно. Но если дело касается сервера, на котором крутятся приложения, завязанные на AD — рисковать выводом сервера из домена не очень хочется. К счатью, способ «возврата» к нормальному состоянию есть.

Вообще, проблема с невозможностью залогиниться в домен с такой ошибкой, сопровождается записью в системном логе следующего содержания:

 This computer could not authenticate with DomainController’ a Windows domain controller for domain DOMAIN, and therefore this computer might deny logon requests. This inability to authenticate might be caused by another computer on the same network using the same name or the password for this computer account is not recognized. If this message appears again, contact your system administrator.

Т.е., как обычно у майкрософта, ничего конкретного о способах решения в ошибке не сказано. Корни проблемы уходят в доменную авторизацию: по умолчанию, пароль для учетной записи компьютера имеет срок жизни в 30 дней. Если ОС не связывалась с доменом в течение этого срока или, например, вы восстановили из бэкапа 30-дневной давности сервер/виртуалку — вы не сможете залогиниться на него под доменной учетной записью. Для исправления этой ситуации необходимо:

1. Залогиниться на сервер под локальной учетной записью с администраторскими полномочиями;

2. Выполнить команду klist purge для очистки кэша Kerberos на сервере.

3. Выполнить команду  «netdom resetpwd /s:x.x.x.x  /ud:domain\User /pd:*», где x.x.x.x — IP-адрес контроллера домена, domain\User — учетная запись администратора домена с указанием имени домена.

4. После запроса пароля — ввести пароль от учетной записи администратора домена.

5. Перезагрузить сервер и залогиниться под учетной записью администратора домена.

Если это не помогло — вам поможет только вывод компьютера из домена и повторное его туда включение. Или техподдержка Майкрософта :)