वर्कस्टेशन और AD डोमेन के बीच टूटे ट्रस्ट रिलेशनशिप को सुधारना

इस लेख में हम दिखाएंगे कि वर्कस्टेशन और एक्टिव डायरेक्टरी डोमेन के बीच टूटे ट्रस्ट रिलेशनशिप को कैसे ठीक किया जाए जब उपयोगकर्ता अपने डोमेन कंप्यूटर पर लॉगऑन नहीं कर सकता। आइए समस्या के मूल कारण और कंप्यूटर को रीबूट किए बिना और डोमेन में फिर से शामिल किए बिना सुरक्षित चैनल पर कंप्यूटर और डोमेन कंट्रोलर के बीच ट्रस्ट को सुधारने का आसान तरीका देखें।

इस वर्कस्टेशन और प्राइमरी डोमेन के बीच ट्रस्ट रिलेशनशिप विफल हो गई।

समस्या तब प्रकट होती है जब कोई उपयोगकर्ता डोमेन क्रेडेंशियल्स का उपयोग करके वर्कस्टेशन या मेंबर सर्वर पर लॉगऑन करने का प्रयास करता है और पासवर्ड दर्ज करने के बाद निम्न त्रुटि होती है:

The trust relationship between this workstation and the primary domain failed.

त्रुटि इस तरह भी दिख सकती है:

The security database on the server does not have a computer account for this workstation trust relationship.

एक्टिव डायरेक्टरी डोमेन में मशीन (कंप्यूटर) खाता पासवर्ड

जब कोई कंप्यूटर एक्टिव डायरेक्टरी डोमेन से जुड़ा होता है, तो उसके लिए एक अलग कंप्यूटर खाता बनाया जाता है। उपयोगकर्ताओं की तरह, प्रत्येक कंप्यूटर का डोमेन में प्रमाणित होने और डोमेन कंट्रोलर के साथ विश्वसनीय कनेक्शन स्थापित करने के लिए अपना पासवर्ड होता है। हालांकि, उपयोगकर्ता पासवर्ड के विपरीत, कंप्यूटर पासवर्ड स्वचालित रूप से सेट और बदले जाते हैं।

AD में कंप्यूटर खाता पासवर्ड के बारे में कुछ महत्वपूर्ण बातें:

• AD में कंप्यूटर पासवर्ड नियमित रूप से बदले जाने चाहिए (डिफ़ॉल्ट रूप से हर 30 दिन में)।टिप। आप Domain member: Maximum machine account password age पॉलिसी का उपयोग करके अधिकतम कंप्यूटर पासवर्ड आयु कॉन्फिगर कर सकते हैं जो Computer Configuration-> Windows Settings-> Security Settings-> Local Policies-> Security Options के अंतर्गत स्थित है। कंप्यूटर पासवर्ड लाइफटाइम 0 से 999 दिनों तक रह सकती है (डिफ़ॉल्ट 30 दिन);
• उपयोगकर्ता पासवर्ड के विपरीत, कंप्यूटर पासवर्ड समाप्त नहीं हो सकता। पासवर्ड परिवर्तन कंप्यूटर द्वारा शुरू किया जाता है, न कि डोमेन कंट्रोलर द्वारा। कंप्यूटर पासवर्ड डोमेन पासवर्ड पॉलिसी के अधीन नहीं है; यहां तक कि यदि कंप्यूटर 30 दिनों या अधिक समय तक बंद रहा है, तो आप इसे चालू कर सकते हैं, और यह अपने पुराने पासवर्ड के साथ आपके DC पर प्रमाणित होगा। फिर स्थानीय Netlogon सर्विस अपने स्थानीय डेटाबेस में कंप्यूटर पासवर्ड बदलेगी (पासवर्ड रजिस्ट्री HKLM\SECURITY\Policy\Secrets\$machine.ACC में संग्रहीत है) और फिर एक्टिव डायरेक्टरी में कंप्यूटर खाता पासवर्ड अपडेट करेगी।
• कंप्यूटर पासवर्ड निकटतम DC पर बदला जाता है, परिवर्तन PDC एमुलेटर FSMO भूमिका वाले डोमेन कंट्रोलर को नहीं भेजे जाते (यानी, यदि किसी कंप्यूटर ने एक DC पर अपना पासवर्ड बदल दिया है, तो यह दूसरे DC पर प्रमाणित नहीं हो पाएगा जब तक कि AD परिवर्तन रेप्लिकेट नहीं हो जाते)।

यदि कंप्यूटर द्वारा डोमेन कंट्रोलर को भेजे गए पासवर्ड का हैश AD डेटाबेस में कंप्यूटर खाता पासवर्ड से मेल नहीं खाता, तो कंप्यूटर DC के साथ सुरक्षित कनेक्शन स्थापित नहीं कर सकता और विश्वसनीय कनेक्शन त्रुटियां लौटाता है।

समस्या क्यों होती है:

1. कंप्यूटर को पुराने रिस्टोर पॉइंट या स्नैपशॉट (वर्चुअल मशीन के मामले में) से पुनर्स्थापित किया गया है जो AD में कंप्यूटर पासवर्ड बदलने से पहले बनाया गया था। यदि आप कंप्यूटर को उसकी पिछली स्थिति में वापस लाते हैं, तो यह अपने पुराने पासवर्ड का उपयोग करके DC पर प्रमाणित करने का प्रयास करेगा। यह सबसे आम समस्या है;
2. AD में उसी नाम से एक कंप्यूटर बनाया गया है, या किसी ने ADUC कंसोल (dsa.msc) का उपयोग करके डोमेन में कंप्यूटर खाता रीसेट कर दिया है;
3. डोमेन में कंप्यूटर खाता एडमिनिस्ट्रेटर द्वारा अक्षम कर दिया गया है (उदाहरण के लिए, निष्क्रिय AD ऑब्जेक्ट्स को अक्षम करने की नियमित प्रक्रिया के दौरान);
4. काफी दुर्लभ मामला जब कंप्यूटर पर सिस्टम समय गलत है।

कंप्यूटर और डोमेन के बीच ट्रस्ट रिलेशनशिप को सुधारने का शास्त्रीय तरीका यहां दिया गया है:

1. AD में कंप्यूटर खाता रीसेट करें;
2. लोकल एडमिनिस्ट्रेटर के तहत कंप्यूटर को डोमेन से वर्कग्रुप में ले जाएं;
3. रीबूट;
4. कंप्यूटर को डोमेन में फिर से जोड़ें;
5. कंप्यूटर को फिर से रीस्टार्ट करें

विधि सरल लगती है, लेकिन यह बहुत बोझिल है, कम से कम दो कंप्यूटर रीस्टार्ट की आवश्यकता होती है और 10-30 मिनट लगते हैं। साथ ही आपको पुराने स्थानीय उपयोगकर्ता प्रोफाइल का उपयोग करने में समस्या हो सकती है।

PowerShell का उपयोग करके डोमेन में फिर से शामिल हुए बिना या कंप्यूटर को रीस्टार्ट किए बिना ट्रस्ट रिलेशनशिप को सुधारने का एक स्मार्ट तरीका है।

PowerShell का उपयोग करके कंप्यूटर और डोमेन के बीच ट्रस्ट रिलेशनशिप की जांच और पुनर्स्थापना

यदि आप डोमेन खाते के तहत कंप्यूटर पर प्रमाणित नहीं हो सकते और निम्न त्रुटि दिखाई देती है: The trust relationship between this workstation and the primary domain failed, आपको अपने लोकल एडमिनिस्ट्रेटर खाते का उपयोग करके कंप्यूटर पर लॉगऑन करना होगा। आप नेटवर्क केबल को अनप्लग भी कर सकते हैं और हाल ही में कंप्यूटर पर लॉग ऑन किए गए डोमेन खाते का उपयोग करके Cached Credentials के साथ कंप्यूटर पर प्रमाणित कर सकते हैं।

एलिवेटेड PowerShell कंसोल खोलें और Test-ComputerSecureChannel cmdlet का उपयोग करके सुनिश्चित करें कि लोकल कंप्यूटर पासवर्ड AD में संग्रहीत पासवर्ड से मेल खाता है।

Test-ComputerSecureChannel –verbose

यदि पासवर्ड मेल नहीं खाते और कंप्यूटर डोमेन के साथ ट्रस्ट रिलेशनशिप स्थापित नहीं कर सकता, तो कमांड False लौटाएगी – The Secure channel between the local computer and the domain woshub.com is broken।

AD में कंप्यूटर खाता पासवर्ड को जबरन रीसेट करने के लिए, यह कमांड चलाएं:

Test-ComputerSecureChannel –Repair –Credential (Get-Credential)

पासवर्ड रीसेट करने के लिए, कंप्यूटर खाता पासवर्ड रीसेट करने का विशेषाधिकार रखने वाले उपयोगकर्ता खाते की क्रेडेंशियल्स दर्ज करें। उपयोगकर्ता को एक्टिव डायरेक्टरी में कंप्यूटर प्रबंधित करने के लिए प्रतिनिधि अनुमतियां दी जानी चाहिए (आप डोमेन एडमिन्स ग्रुप के सदस्य का भी उपयोग कर सकते हैं)।

फिर Test-ComputerSecureChannel को फिर से चलाएं ताकि यह सुनिश्चित हो सके कि यह True लौटाता है (The Secure channel between the local computer and the domain woshub.com is in good condition)।

तो कंप्यूटर पासवर्ड को रीस्टार्ट या मैन्युअल डोमेन रिजॉइन के बिना रीसेट कर दिया गया है। अब आप अपने डोमेन खाते का उपयोग करके कंप्यूटर पर लॉगऑन कर सकते हैं।

पासवर्ड को जबरन रीसेट करने के लिए आप Reset-ComputerMachinePassword cmdlet का भी उपयोग कर सकते हैं।

Reset-ComputerMachinePassword -Server mun-dc01.woshub.com -Credential woshub\adm_user1

mun-dc01.woshub.com निकटतम DC का नाम है जिस पर कंप्यूटर पासवर्ड बदलना है।

वर्चुअल मशीन स्नैपशॉट या कंप्यूटर रिस्टोर पॉइंट बनाने से पहले हर बार कंप्यूटर पासवर्ड रीसेट करना उचित है। इससे आपके लिए पिछली कंप्यूटर स्थिति पर वापस जाना आसान होगा।

यदि आपके पास एक डेवलपमेंट या टेस्ट वातावरण है, जहां आपको अक्सर स्नैपशॉट से पिछली VM स्थिति को पुनर्प्राप्त करना पड़ता है, तो आप इन कंप्यूटर्स के लिए डोमेन में पासवर्ड परिवर्तन को GPO का उपयोग करके अक्षम करना चाह सकते हैं। ऐसा करने के लिए, Domain member: Disable machine account password changes पॉलिसी सेट करें जो Computer Configuration -> Policies -> Windows Settings -> Security Settings -> Local Policies -> Security Options में स्थित है। आप पॉलिसी को टेस्ट कंप्यूटर्स वाले OU पर टारगेट कर सकते हैं या GPO WMI फिल्टर्स का उपयोग कर सकते हैं।

Get-ADComputer cmdlet का उपयोग करके (Windows PowerShell के लिए Active Directory मॉड्यूल से), आप AD में अंतिम कंप्यूटर पासवर्ड परिवर्तन की तारीख देख सकते हैं:

Get-ADComputer –Identity mun-wks5431 -Properties PasswordLastSet

Test-ComputerSecureChannel और Reset-ComputerMachinePassword cmdlets PowerShell 3.0 संस्करण से उपलब्ध हैं। आपको विंडोज 7/विंडोज सर्वर 2008 R2 में PowerShell संस्करण अपडेट करना होगा।

आप इस कमांड का उपयोग करके कंप्यूटर और DC के बीच सुरक्षित चैनल है या नहीं भी जांच सकते हैं:

nltest /sc_verify:woshub.com

निम्न पंक्तियां पुष्टि करती हैं कि ट्रस्ट सफलतापूर्वक सुधारा गया है:

Trusted DC Connection Status = 0 0x0 NERR_Success Trust Verification Status = 0 0x0 NERR_Success

Netdom का उपयोग करके डोमेन ट्रस्ट सुधारें

विंडोज 7/2008R2 और PowerShell 3.0 के बिना पिछले विंडोज संस्करणों में, आप कंप्यूटर पासवर्ड रीसेट करने और डोमेन के साथ ट्रस्ट रिलेशनशिप सुधारने के लिए Test-ComputerSecureChannel और Reset-ComputerMachinePassword cmdlets का उपयोग नहीं कर सकते। इस मामले में, डोमेन कंट्रोलर के साथ सुरक्षित चैनल को पुनर्स्थापित करने के लिए netdom.exe टूल्स का उपयोग करें।

Netdom विंडोज सर्वर 2008 या नए में शामिल है, और इसे RSAT (रिमोट सर्वर एडमिनिस्ट्रेशन टूल्स) से उपयोगकर्ताओं के कंप्यूटर्स पर इंस्टॉल किया जा सकता है। ट्रस्ट रिलेशनशिप सुधारने के लिए, लोकल एडमिनिस्ट्रेटर क्रेडेंशियल्स (लॉगऑन स्क्रीन पर .\Administrator टाइप करके) के तहत लॉग ऑन करें और निम्न कमांड चलाएं:

Netdom resetpwd /Server:DomainController /UserD:Administrator /PasswordD:Password

• Server किसी भी उपलब्ध डोमेन कंट्रोलर का नाम है
• UserD डोमेन एडमिनिस्ट्रेटर अनुमतियों वाले उपयोगकर्ता का नाम है या जिसमें कंप्यूटर खाता वाला OU पर प्रतिनिधि विशेषाधिकार हैं
• PasswordD उपयोगकर्ता पासवर्ड

Netdom resetpwd /Server:mun-dc01 /UserD:jsmith /PasswordD:Pra$$w0rd

कमांड चलाने के बाद, आपको कंप्यूटर को रीबूट करने की आवश्यकता नहीं है: बस लॉग ऑफ करें और फिर से अपने डोमेन खाते का उपयोग करके लॉग ऑन करें।

जैसा कि आप देख सकते हैं, कंप्यूटर और डोमेन के बीच ट्रस्ट को सुधारना काफी आसान है।