Что за фигня с win 7 максимальная в домене?

Question

[other_letter]

Один из филиалов, десятка 4 компов.
И вот уже недели три как началось - при утреннем подключении к домену - не пускает. Мол, доверительных отношениев нету. Лечится логином из-под локального админа, самовыпиливанием из домена и подключением заново.

Но вот что интересно - у всех именно максимальная версия винды.

Кто-то ещё сталкивался?

Comments

[NRinat]

Добрый вечер!
Данных мало, чтобы Вам помочь с решением проблемы. Но попробуйте посмотреть в логах, когда менялся пароль компьютера и было ли восстановление системы на клиентской машине.
Выпиливать учетку не совсем правильно, сбрасывается SID, а это надо будет прописывать учетку компа опять во всех ACL и группах.
Если потерялось доверие между машиной и контроллером, то лучше делайте так.
Логинитесь под админом.
Этой командой можно проверить наличие дов. отношений.
Nltest /sc_verify:yourdomain.com
Если доверия нет, этой командой можно попросить комп сходить к контроллеру под вашей админской учеткой и поменять себе пароль.
Netdom resetpwd /server:domaincontrollername /userD:domain\administrator /PasswordD:”password”
Последний password берите в кавычки, если в пароле есть спец. символы.

Удачи!

Answer 1

[Arden]

Могу предположить, что это могло возникнуть после обновлений, как компов, так и домен контроллера. Тут нужно смотреть.
Можно проверить, лечится ли это переустановкой учетной записи компьютера на DC.
Обычно доверительных отношений нет, когда пароль учетной записи компьютера изменился а у DC пароль другой, вот он и не понимают друг друга.

Comments

[other_letter]

переустановкой учетной записи компьютера на DC - это как? Удалением учётки что ли?

пароль учетной записи компьютера изменился - пароль учётки компьютера? Вы о чём?

[ldv]

other_letter: https://redmondmag.com/articles/2014/04/21/domain-...

[other_letter]

А! Reset. Спасибо, не был в курсе что по-русски это "переустановка"

[Arden]

other_letter: Бывает такая ситуация, что компьютер не может пройти проверку подлинности в домене. Вот несколько примеров:

После переустановки ОС на рабочей станции машина не может пройти проверку подлинности даже с использованием того же имени компьютера. Поскольку в процессе новой установки ОС генерируется SID-идентификатор и компьютер не знает пароль учетной записи объекта компьютера в домене, он не принадлежит к домену и не может пройти проверку подлинности в домене.
Компьютер полностью восстановлен из резервной копии и не может пройти проверку подлинности. Возможно, после архивации объект компьютера изменил свой пароль в домене. Компьютеры изменяют свои пароли каждые 30 дней, а структура Active Directory помнит текущий и предыдущий пароль. Если была восстановлена резервная копия компьютера с давно устаревшим паролем, компьютер не сможет пройти проверку подлинности.
Секрет LSA компьютера давно не синхронизировался с паролем, известным домену. Т.е. компьютер не забыл пароль - просто этот пароль не соответствует реальному паролю в домене. В таком случае компьютер не может пройти проверку подлинности и безопасный канал не будет создан.
Основные признаки возможных неполадок учетной записи компьютера:

Сообщения при входе в домен указывают, что компьютеру не удалось установить связь с контроллером домена, отсутствует учетная запись компьютера, введен неправильный пароль учетной записи компьютера или потеряно доверие (безопасная связь) между компьютером и доменом.
Сообщения или события в журнале событий, указывающие аналогичные ошибки или предполагающие неполадки паролей, доверительных отношений, безопасных каналов либо связи с доменом или контроллером домена. Одна из таких ошибок - отказ проверки подлинности с кодом ошибки 3210 в журнале событий компьютера.
Учетная запись компьютера в Active Directory отсутствует.

Как лечить?

Необходимо переустановить учетную запись компьютера. В сети есть рекомендации по такой переустановки: удалить компьютер из домена, чтобы потом повторно присоединить его. Да, это работает, но данный вариант не рекомендуется делать по причине того, что теряется SID-идентификатор и членство компьютера в рабочей группе.

Поэтому необходимо сделать так:

Открыть оснастку Active Directory, выбрать "Пользователи и компьютеры", щелкнуть объект компьютера правой кнопкой мыши и применить команду "Переустановить учетную запись". После этого компьютер следует заново присоединить к домену и перезагрузиться.

Чтобы перезагрузка после сброса безопасного канала не требовалось, нужно использовать либо команду Netdom, либо Nltest.

C помощью учетной записи, относящейся к локальной группе "Администраторы":

netdom reset Имя_машины /domain Имя_домена /Usero Имя_пользователя /Passwordo {Пароль | *}

На компьютере, где утрачены доверительные отношения:

nltest /server:Имя_сервера /sc_reset:ДОМЕН\Контроллер_домена

отсюда
bulkin.me/notes/1136

Answer 2

[Владимир Кузин]

Можно посмотреть на синхронизацию времени на сервере и клиентских машинах. У нас так было - разница во времени давала такие сбои. Ссинхронизируйте время командой net time \\servername /set

Comments

[other_letter]

Можно, но что-то не то, ИМХО. Меня очень смущает именно "максимальность" винды. У нас таких немного, так что это очень привлекает внимание. Моё.