Восстановление доверительных отношений между PC и Active Directory

  • •

Рассмотрим способы решения распространённой проблемы потери доверительных отношений между рабочей станцией и доменом Active Directory (#AD). Из-за этой проблемы пользователь не может авторизоваться под своей учётной записью.

При попытке входа пользователя под доменной учётной записью, могут произойти следующие ошибки.

Trust relationship

The trust relationship between this workstation and the primary domain failed.

(Не удалось восстановить доверительные отношения между рабочей станцией и доменом.)

Security database

The security database on the server does not have a computer account for this workstation trust relationship.

(База данных диспетчера учетных записей на сервере не содержит записи для регистрации компьютера через доверительные отношения с этой рабочей станцией.)

Ошибка может возникнуть по различным факторам. Например, когда новый компьютер присоединился к домену под уже существующем именем другого компьютера, или когда виртуальная машина восстановилась с контрольной точки.

Ручной способ

Для того, чтобы исправить ошибку, необходимо последовательно выполнить следующие пункты:

  1. Сбросить аккаунт компьютера в #AD.
  2. На проблемном компьютере зайти под локальным администратором и вывести компьютер из домена в рабочую группу.
  3. Перезагрузить компьютер.
  4. Вывести компьютер из рабочей группы и ввести обратно в домен.
  5. Еще раз перезагрузить компьютер.

Автоматизация

Как обычно, привожу скрипт по автоматизации восстановления доверительных отношений. Скрипт решит проблему быстро и без перезагрузок. Запускается под администратором.

Параметры

Параметр у скрипта один, это название сервера Domain Controller DC.

  • Server, DC - название сервера DC (контроллера домена). Если параметр не задан, скрипт выбирает для операции контроллер домена по умолчанию.

Примеры

Восстановить доверительные отношения с доменом по умолчанию:

Терминал
1

.\pwsh.csc.repair.ps1

Восстановить доверительные отношения с доменом DC-server.domain.com:

Терминал
1

.\pwsh.csc.repair.ps1 -Server 'DC-server.domain.com'

Алгоритм работы

  • Запускается проверка доверительных отношений при помощи cmdlet’а Test-ComputerSecureChannel.
  • Если проверка пройдена, скрипт завершает работу.
  • Если проверка не пройдена, запускается цикл восстановления доверительных отношений с контроллером домена с временным интервалом в 5 секунд.

Скрипт

pwsh.csc.repair.ps1
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64

<#PSScriptInfo
.VERSION      0.1.0
.GUID         52672f5d-e2c0-467a-ae1d-c0fc9009a1eb
.AUTHOR       Kai Kimera
.AUTHOREMAIL  mail@kaikim.ru
.TAGS         windows domain
.LICENSEURI   https://choosealicense.com/licenses/mit/
.PROJECTURI   https://libsys.ru/ru/2023/10/38fc94dd-8d37-5f9e-b556-676304976a9f/
#>

#Requires -Version 7.2
#Requires -RunAsAdministrator

<#
.SYNOPSIS
Testing and repairing the secure channel between the local computer and its domain.

.DESCRIPTION
Verifying that the channel between the local computer and its domain is working correctly by checking the status of its trust relationships. If a connection fails, trying to restore it.

.EXAMPLE
.\pwsh.csc.repair.ps1

.EXAMPLE
.\pwsh.csc.repair.ps1 -DC 'DC-server.domain.com'

.LINK
https://libsys.ru/ru/2023/10/38fc94dd-8d37-5f9e-b556-676304976a9f/
#>

# -------------------------------------------------------------------------------------------------------------------- #
# CONFIGURATION
# -------------------------------------------------------------------------------------------------------------------- #

param(
  [Alias('DC')][string]$Server,
  [Alias('S')][int]$Sleep = 5
)

# -------------------------------------------------------------------------------------------------------------------- #
# -----------------------------------------------------< SCRIPT >----------------------------------------------------- #
# -------------------------------------------------------------------------------------------------------------------- #

function Start-CSCRepair() {
  $Param = @{
    Server = "${Server}"
    Repair = $true
    Credential = (Get-Credential)
  }

  do {
    if (Test-ComputerSecureChannel) {
      Write-Host 'Connection successful. Everything is fine!'
    } else {
      Write-Host 'Connection failed! The secure channel between the local computer and the domain is broken. Removing and then rebuilds the channel established by the NetLogon service...'
      Test-ComputerSecureChannel @Param
      Start-Sleep -s $Sleep
    }
  } until (Test-ComputerSecureChannel)
}

function Start-Script() {
  Start-CSCRepair
}; Start-Script

Источники: