Настройка доверительных отношений между доменами Active Directory

Не удалось установить доверительные отношения

Привет! Бывает такое, что требуется восстановить компьютер или сам контроллер домена из точки восстановления/снэпшота (если это виртуальная машина). И частенько это приводит к потере доверительных отношений между компьютером и доменом. Мы получаем ошибку:

Не удалось восстановить доверительные отношения между рабочей станцией и доменом.

Или в английском варианте: The trust relationship between this workstation and the primary domain failed.

База данных диспетчера учетных записей на сервере не содержит записи для регистрации компьютера через доверительные отношения с этой рабочей станцией.

В английском варианте: The security database on the server does not have a computer account for this workstation trust relationship.

Для того, чтобы восстановить доверительные отношения можно пойти тремя способами. Давайте их рассмотрим ниже.

Да, для того чтобы восстановить доверительные отношения с доменом необходимо на компьютер зайти под локальной учётной записью. Если доступа к локальной учётной записи нет, то необходимо сбросить пароль Windows.

Определяемся с типом доверительных отношений

Доверительные отношению могут быть разных типов. Перед тем, как их настроить, нужно понять, какие нам требуются.

Одностороннее или двустороннее

Определяют направление доверия одного домена к другому.

В односторонних отношениях, только один домен доверяет другому. В результате, на компьютерах одного из доменов можно будет авторизоваться с использованием пользователей другого. При создании такого доверия нужно указать также направление (входящее или исходящее) — оно определяет чьи пользователи смогут проходить аутентификацию на чьем домене.

В двусторонних отношениях домены доверяют друг другу. Таким образом, аутентификация выполняется на всех компьютерах под пользователями любого из доменов.

Внешнее или доверие леса

Внешнее или нетранзитивное отношение устанавливается между двумя доменами напрямую вне леса.

Доверие леса или транзитивное отношение связывает леса и все их домены.

Решение

Для устранения данной проблемы необходимо удалить компьютер из домена, а затем повторно подключить его.

Используя учетную запись локального администратора, войдите в систему.

Откройте менюПуск, Нажмите и удерживайте (или щелкните правой кнопкой мыши) Компьютер > Свойства.

Нажмите кнопкуИзменить настройки рядом с названием компьютера.

На вкладке Имя компьютера щелкнитеИзменить.

Под заголовком Член группы выберите Рабочая группа, введите имя рабочей группы и нажмите OK.

В ответ на предложение перезагрузить компьютер нажмите кнопку OK.

На вкладке Имя компьютера снова выберитеИзменить.

Под заголовком Член группы выберите Домен, и введите имя домена.

НажмитеOK, и введите учетные данные пользователя, который авторизован в данном домене.

Способы устранения доверительных отношений между этой рабочей станцией и ошибкой основного домена

Решения, приведенные ниже, не зависят друг от друга, и я очень надеюсь, что они окажутся полезными для вас.

• Попробуйте войти локально как локальный администратор. После этого перейдите в инструмент СетьПанель управления , выберите Изменить и введите имя рабочей группы, покинув домен. Затем перезагрузите компьютер и войдите в систему как локальный администратор.
• Попробуйте удалить существующую учетную запись компьютера в Диспетчер серверов , заново создать учетную запись компьютера, синхронизировать домен, а затем на клиенте снова присоединиться к домену.
• Сбросьте пароль локального администратора, а затем выйдите и войдите в систему как локальный администратор, чтобы проверить его. Затем вместо этого измените домен на члена рабочей группы, перезапустите, как будет предложено, войдите в систему как локальный администратор, а затем снова присоединитесь к домену.
• Войдите в AD, перейдите в область AD Домены и трасты . Найдите домен, щелкните по нему правой кнопкой мыши и перейдите к управлению. Затем найдите нужный компьютер на вкладке Компьютеры , щелкните его правой кнопкой мыши и выберите Сбросить учетную запись . После этого попробуйте войти в систему на клиентском компьютере, о котором идет речь.
• Удалите учетную запись компьютера из AD в оснастке Пользователи и компьютеры на рабочей станции DC или mgmt. Затем вручную добавьте учетную запись компьютера из оснастки Пользователи и компьютеры на рабочей станции DC или mgmt. Соблюдайте осторожность, чтобы при добавлении машины обратно в AD вводить имя пользователя домена для учетной записи, которая может войти на машину как участник пользователей, которые могут присоединить этот компьютер к домену. Затем перейдите на компьютер с проблемой, войдите с именем пользователя, затем добавьте его в домен с ПК

-ЧИТАЙТЕ ТАКЖЕ: случайно удалили учетную запись администратора? Вот как это исправить

Эти исправления также доступны для Windows 7 и Windows 10, поэтому обязательно попробуйте их:

1. Вставьте оригинальную установленную версию Windows Vista или Windows 7 DVD. Имейте в виду, что это должно соответствовать текущей установке. Это не сработает, если установочный DVD с Windows Vista x64 используется для установки Windows Vista x86 или наоборот. То же правило в Windows 7.
2. Перезагрузите компьютер и загрузитесь с DVD.
3. Выберите вариант Восстановить компьютер .
4. Запустите командную строку .
5. Введите C: или D: (в некоторых системах есть раздел восстановления на C ? и нажмите ENTER .
6. Введите cd WindowsSystem32 и нажмите ENTER .
7. Введите copy Utilman.exe Utilman.exe.bak и нажмите ENTER .
   Введите copy cmd.exe utilman.exe и нажмите ENTER .
8. Введите выход , нажмите ENTER и перезапустите систему.
9. На экране входа в систему нажмите Ключ Windows + U и откройте окно cmd.exe.
10. Введите NET USER и нажмите ENTER . Типичный вывод, подобный этому, покажет:

Учетные записи пользователей для РАБОЧЕЙ СТАНЦИИ ——————————————————————————
Администратор ASPNET OwnerGuestКоманда успешно выполнена.

-ЧИТАЙТЕ ТАКЖЕ: почему вы должны выполнить обновление с Windows 8, 8.1 до Windows 10

Если все вышеперечисленные решения не сработали, я рекомендую вам посетить эту официальную страницу поддержки от Microsoft. Если это тоже не помогло, попробуйте эту статью.

Расскажите нам о своем прогрессе в разделе комментариев ниже. Если вы нашли другой способ решения этой проблемы, не забудьте поделиться им.

Восстановление доверительных отношений в домене

Бывает такая ситуация, что компьютер не может пройти проверку подлинности в домене. Вот несколько примеров:

• После переустановки ОС на рабочей станции машина не может пройти проверку подлинности даже с использованием того же имени компьютера. Поскольку в процессе новой установки ОС генерируется SID-идентификатор и компьютер не знает пароль учетной записи объекта компьютера в домене, он не принадлежит к домену и не может пройти проверку подлинности в домене.
• Компьютер полностью восстановлен из резервной копии и не может пройти проверку подлинности. Возможно, после архивации объект компьютера изменил свой пароль в домене. Компьютеры изменяют свои пароли каждые 30 дней, а структура Active Directory помнит текущий и предыдущий пароль. Если была восстановлена резервная копия компьютера с давно устаревшим паролем, компьютер не сможет пройти проверку подлинности.
• Секрет LSA компьютера давно не синхронизировался с паролем, известным домену. Т.е. компьютер не забыл пароль — просто этот пароль не соответствует реальному паролю в домене. В таком случае компьютер не может пройти проверку подлинности и безопасный канал не будет создан.

Основные признаки возможных неполадок учетной записи компьютера:

• Сообщения при входе в домен указывают, что компьютеру не удалось установить связь с контроллером домена, отсутствует учетная запись компьютера, введен неправильный пароль учетной записи компьютера или потеряно доверие (безопасная связь) между компьютером и доменом.
• Сообщения или события в журнале событий, указывающие аналогичные ошибки или предполагающие неполадки паролей, доверительных отношений, безопасных каналов либо связи с доменом или контроллером домена. Одна из таких ошибок — отказ проверки подлинности с кодом ошибки 3210 в журнале событий компьютера.
• Учетная запись компьютера в Active Directory отсутствует.

Необходимо переустановить учетную запись компьютера. В сети есть рекомендации по такой переустановки: удалить компьютер из домена, чтобы потом повторно присоединить его. Да, это работает, но данный вариант не рекомендуется делать по причине того, что теряется SID-идентификатор и членство компьютера в рабочей группе.

Поэтому необходимо сделать так :

Открыть оснастку Active Directory, выбрать «Пользователи и компьютеры», щелкнуть объект компьютера правой кнопкой мыши и применить команду «Переустановить учетную запись». После этого компьютер следует заново присоединить к домену и перезагрузиться.

Чтобы перезагрузка после сброса безопасного канала не требовалось, нужно использовать либо команду Netdom, либо Nltest.

C помощью учетной записи, относящейся к локальной группе «Администраторы»:

netdom reset Имя_машины /domain Имя_домена /Usero Имя_пользователя /Passwordo

Как восстановить доверительные отношения между рабочей станцией и доменом

Рассмотрим несколько способов исправить проблему отсутствия доверительных отношений между рабочей станцией и доменом

Способ №1. Выход из домена с последующим входом

Наиболее простым способом решения проблемы «Не удалось установить доверительные отношения между этой рабочей станцией и основным доменом» (рекомендуемым, в частности, компанией «Макрософт») является выход компьютера (или «рабочей станции») из домена, с его последующим подключением к данному домену. Выполните следующее:

1. Войдите в систему (ОС Виндовс) под учёткой локального администратора;
2. Наведите курсор на иконку «Мой компьютер» на рабочем столе, нажмите ПКМ, выберите «Свойства»;
3. В открывшемся окне рядом с названием ПК нажмите на кнопку «Изменить» (Изменить параметры);
4. Откроется окно, где на вкладке «Имя компьютера» нажмите внизу на кнопку «Изменить»;
5. В опции «Является членом» (или «Член группы») выберите настройку «Рабочая группа», введите какое-либо название группы и нажмите на ОК;

Способ №2. Задействуйте PowerShell

Ещё одним вариантом решить проблему доверительных отношений в домене является задействование функционала «PowerShell» в Виндовс 10. Выполните следующее:

• Войдите в учётку локального администратора на Виндовс 10;
• В строке поиска панели задач наберите PowerShell, сверху отобразится найденный результат;
• Наведите на него курсор, нажмите ПКМ, выберите опцию запуска от имени администратора, подтвердите запуск, нажав на «Да»;
• В открывшейся оболочке наберите и нажмите на ввод;

• Закройте «PowerShell» и перезагрузите ПК;
• Выполните вход в Виндовс 10 используя аккаунт пользователя домена.

Способ №3. Временно отключите сетевой кабель

Неплохо зарекомендовал себя кастомный способ, предложенный пользователями. При возникновении подобной проблемы на вашем ПК рекомендуется отключить от ПК сетевой кабель и попытаться войти в свою учётку под старым паролем (при отключении кабеля такое может стать возможным). Затем подключите сетевой кабель, выйдите из домена, и потом вновь попробуйте обратно войти в домен. Если вход удастся, перезагрузите ваш ПК.