Почему невозможно некоторое время войти на пк под учёткой домена пока перед ней не авторизуется локальный админ?

Question

[Ravenholn]

Виртуальные машины на Hyper-V
AD запущена на WinServer 2019
Пользователь под Win11
После перезагрузки машины под win11 при попытке войти под любой учеткой домена окно логина сообщает о отсутствии учетки в группе "пользователи удаленных рабочих столов".
Если сразу после перезагрузки войти под локальным админом и сразу выйти, логин в учетку домена проходит нормально.
Без входа под локальным админом, учетка домена проходит только если подождать около 5 минут

Comments

[Alexey Dmitriev]

Из чего разворачивались виртуальные машины ?

[aleks-th]

А у тебя все локалки развернуты из одного образа ?
И сколько их физически ,?

[Ravenholn]

Alexey Dmitriev, aleks-th, Три виртуалки. Контроллеры из своего образа(два контроллера из одного образа), а win11(одна виртуалка) из своего. Оба образа скачаны с сайта майков.

[Alexey Dmitriev]

Ravenholn, в таком случае вопрос-вам известен термин Sysprep и применялся ли он на каждой виртуальной машине после ее создания и перед вводом в домен?

[aleks-th]

Ravenholn, образы sysprep -ом , были пред запуском подготовлены ?

И контроллеры просто копировались образы ?
Или ты их устанавливал с нуля ?

win 11 - копировалась или устанавливалась с нуля, есть ли еще такая же копия в домене ?

возможно в этом направлении проблема.

[Ravenholn]

Alexey Dmitriev, aleks-th, нет такого не делал. Почитал про утилиту, а кроме повторной установки есть варианты? Практика то оно хорошо конечно, но я так уже домен 3 раза с нуля настраивал)
И вообще эта операция, она всегда нужна или это свойство именно Hyper-V? Т.к в нескольких объемных видео про AD, что я смотрел использовался WMware и там авторы ничего такого не делали, а просто запускали виртуалку, после пары натсроек сети заводили ее в домен и таких ошибок у них не было, доменная учетка сразу отрабатывала.

[Ravenholn]

aleks-th, Все виртуалки настраивались с нуля и контроллеры и windows11, пользовательская виртуалка одна в домене

[Роман Безруков]

войти под локальным админом

а локальный админ на доменном ПК специально включен? Или речь всё-таки про вход доменного админа?
Какие ошибки есть в системных логах на доменном ПК?

[Ravenholn]

Роман Безруков, Речь именно о builtin учетке локального админа, изначально я ее отключал совсем именно для того что бы оставить доменного админа.
из ошибок в системном журнале которые по времени как раз возникают до входа под локальным админом:
NETLOGON - 5719
Компьютер не может установить безопасный сеанс связи с контроллером домена SERVER по следующей причине:
Внутренняя ошибка.

Time-Service - 129
NTP-клиенту не удалось задать узел домена в качестве источника времени из-за ошибки обнаружения. NTP-клиент повторит попытку через 15 мин., а затем удвоит интервал между попытками. Ошибка: Элемент не найден. (0x800706E1)

[Alexey Dmitriev]

Ravenholn, это и есть причина проблемы - у вас совпадают SID машин, потому что клонировали их без sysprep.
Нужно опустить и вывести из домена все контроллеры домена, кроме одного и все машины Windows 11, кроме одной.
Сделать выведенным машинам sysprep и ввести обратно в домен.

Answer 1

[hint000]

Так или иначе, это связано с тем, что ПК не видит контроллер домена. А не видеть может по разным причинам.
1. Не сразу получает адрес от DHCP и уходит в APIPA, через несколько минут повторно пробует и получает. Прописать статику на ПК и посмотреть как это повлияет.
2. Не получает от DNS правильный ответ о контроллере домена. Например, прописано два DNS, но только один из них знает о контроллере домена. Прописать правильно форварды на стороне всех внутренних DNS. Не отдавать ПК никакие внешние DNS (знаем-знаем, как вы все любите четыре восьмёрки или четыре единицы).
3. Нужно убедиться, что виртуальная машина контроллера уже успела загрузиться, прежде чем запускаете виртуальную машину с ПК. Если стартовать все виртуалки одновременно, то эффект довольно ожидаемый. ПК уже запрашивает что-то у контроллера, а тот еще не полностью прогрузился и не готов ответить.

Comments

[Ravenholn]

Уже многое перепробовал, пока безрезультатно.
Из того, что изначально не заметил, учётка с группой доменного администратора может войти всегда на любой виртуалке(основной и дополнительный контроллеры либо win11), пользовательские учетки состоящие в только в группе пользователей домена не могут войти нигде пока перед ними не войдёт учётка доменного админа либо локального админа либо пока не пройдет какое-то время после старта пк.
После рестарта контроллеров всегда выжидал полного старта служб
Прописывал вручную настройки ipv4, хотя DHCP сервер выдает их корректно.
DNS сервера выдаются по DHCP и указывают на первый и второй контроллер домена
Зоны в обоих DNS настроены и в них прописались ptr и а записи для обоих контроллеров и клиента win11
Устранил ошибку ntp т.к некоторые статьи указывали на ошибку времени.
Применил политику времени ожидания для обработки политики загрузки

[hint000]

Ravenholn, в логах найдите ошибку при попытке логина, от этого момента времени смотрите, какие следующие сообщения в логах, вплоть до сообщения об успешном логине. Т.е. нужно выяснить, какие события произошли между неуспешным и успешным логином, что за это время изменилось в системе. Может быть, какая-то служба стартовала и т.п.

[Ravenholn]

hint000, Alexey Dmitriev, Роман Безруков, aleks-th, Разобрался наконец, что происходит но пока не знаю как это обойти. В общем сеть на виртуалках после переагрузки прогружается только после логина локального админа или админа домена т.к видимо эти учетки могут входить на компьтеры не подключенные к сети и так же сеть прогружается если не закрывать сообщение(не нажимать "ОК") об отсутствии пользователя в группе "пользователи удаленных рабочих столов" в течение 30-35 секунд.
Если нажать "Ок" и вернуться на окно логина сеть все так же не прогружается.
Простое ожидание на окне логина ничего не дает.
То что сеть прогрузилась видно по появлению иконки состояния сети в окне логина, пока сеть не прогрузилась ее нет.
Попробовал применить политику "Локальный вход в систему" добавив в нее пользователей домена помимо админов но это не помогло.

[Роман Безруков]

Ravenholn, уточню - у вас сам Hyper-V хост в домен не добавлен?

[Alexey Dmitriev]

Ravenholn, я уже написал вам что нужно сделать.

[Ravenholn]

Роман Безруков, физический компьютер на котором компонент hyper-v активирован? Нет он не в домене.