Reparación de la relación de confianza rota entre la estación de trabajo y el dominio AD

En este artículo, mostraremos cómo reparar una relación de confianza rota entre una estación de trabajo y un dominio de Active Directory cuando un usuario no puede iniciar sesión en la computadora de su dominio. Consideremos la causa raíz del problema y la manera fácil de reparar la confianza entre una computadora y un controlador de dominio a través de un canal seguro sin reiniciar la computadora y volver a unir el dominio.

La relación de confianza entre esta estación de trabajo y el dominio principal falló.

El problema se manifiesta cuando un usuario intenta iniciar sesión en la estación de trabajo o servidor miembro utilizando las credenciales de dominio y se produce el siguiente error después de ingresar la contraseña:

The trust relationship between this workstation and the primary domain failed.

El error también puede verse así:

The security database on the server does not have a computer account for this workstation trust relationship.

Contraseña de cuenta de máquina (computadora) en el dominio de Active Directory

Cuando una computadora se une a un dominio de Active Directory, se crea una cuenta de computadora separada para ella. Al igual que los usuarios, cada computadora tiene su contraseña para autenticar la computadora en el dominio y establecer una conexión confiable con el controlador de dominio. Sin embargo, a diferencia de las contraseñas de los usuarios, las contraseñas de las computadoras se configuran y cambian automáticamente.

Aquí hay algunas cosas importantes sobre las contraseñas de cuentas de computadora en AD:

• Las contraseñas de las computadoras en AD deben cambiarse regularmente (una vez cada 30 días por defecto).

  Consejo. Puede configurar la antigüedad máxima de la contraseña de la computadora usando la política Miembro del dominio: Antigüedad máxima de la contraseña de la cuenta de la máquina ubicada en Configuración de la computadora-> Configuración de Windows-> Configuración de seguridad-> Local Políticas-> Opciones de Seguridad. El tiempo de vida de una contraseña de computadora puede durar de 0 a 999 días (30 días de forma predeterminada);

  

• A diferencia de las contraseñas de usuario, la contraseña de una computadora no puede caducar. El cambio de contraseña lo inicia la computadora, no el controlador de dominio. La contraseña de una computadora no está sujeta a la política de contraseñas de dominio;

  Incluso si una computadora ha estado apagada durante 30 días o más, puede encenderla y se autenticará en su DC con su contraseña anterior. Luego, el servicio Netlogon local cambiará la contraseña de la computadora en su base de datos local (la contraseña se almacena en el registro

  HKLM\SECURITY\Policy\Secrets\$machine.ACC

  ) y luego actualizará la contraseña de la cuenta de la computadora en Active Directory.

• La contraseña de una computadora se cambia en el DC más cercano, los cambios no se envían al controlador de dominio con la función FSMO del emulador de PDC (es decir, si una computadora ha cambiado su contraseña en un DC, no podrá autenticarse en otro DC hasta que se repliquen los cambios de AD).

Si el hash de la contraseña que la computadora envía al controlador de dominio no coincide con la contraseña de la cuenta de la computadora en la base de datos de AD, la computadora no puede establecer una conexión segura con el DC y devuelve errores de conexión de confianza.

Por qué ocurre el problema:

1. Se ha restaurado una computadora desde un punto de restauración anterior o una instantánea (en el caso de una máquina virtual) creada antes de que se cambiara la contraseña de la computadora en AD. Si devuelve la computadora a su estado anterior, intentará autenticarse en el DC usando su contraseña anterior. Es el tema más típico;

2. Se ha creado una computadora con el mismo nombre en AD, o alguien ha restablecido la cuenta de la computadora en el dominio usando la consola ADUC (

   dsa.msc

   );

   

3. La cuenta de la computadora en el dominio ha sido deshabilitada por el administrador (por ejemplo, durante un procedimiento regular de deshabilitación de objetos AD inactivos);

4. Un caso bastante raro cuando la hora del sistema en una computadora es incorrecta.

Esta es la forma clásica de reparar la relación de confianza entre la computadora y el dominio:

1. Restablecer la cuenta de la computadora en AD;

2. Mueva la computadora del dominio a un grupo de trabajo bajo el administrador local;

3. Reiniciar;

4. Vuelva a unir la computadora al dominio;

5. Reinicie la computadora de nuevo

El método parece simple, pero es demasiado torpe, requiere al menos dos reinicios de la computadora y toma de 10 a 30 minutos. También puede tener problemas con el uso de perfiles de usuario locales antiguos.

Hay una forma más inteligente de reparar la relación de confianza usando PowerShell sin volver a unirse al dominio o reiniciar la computadora.

Verifique y restaure la relación de confianza entre la computadora y el dominio usando PowerShell

Si no puede autenticarse en una computadora con una cuenta de dominio y aparece el siguiente error: La relación de confianza entre esta estación de trabajo y el dominio principal falló, debe iniciar sesión en la computadora con su cuenta de administrador local. También puede desconectar el cable de red y autenticarse en la computadora con la cuenta de dominio iniciada en la computadora recientemente usando Credenciales en caché.

Abra la consola elevada de PowerShell y use el cmdlet Test-ComputerSecureChannel para asegurarse de que la contraseña de la computadora local coincida con la contraseña almacenada en AD.

Test-ComputerSecureChannel -verbose

Si las contraseñas no coinciden y la computadora no puede establecer una relación de confianza con el dominio, el comando devolverá Falso:

The Secure channel between the local computer and the domain a-d.site is broken

Para forzar el restablecimiento de la contraseña de la cuenta de la computadora en AD, ejecute este comando:

Test-ComputerSecureChannel -Repair -Credential (Get-Credential)

Para restablecer una contraseña, ingrese las credenciales de una cuenta de usuario que tenga el privilegio de restablecer la contraseña de una cuenta de computadora. El usuario debe tener delegados los permisos para administrar computadoras en Active Directory (también puede usar un miembro del grupo Administradores de dominio).

Luego ejecute Test-ComputerSecureChannel nuevamente para asegurarse de que devuelve True (

The Secure channel between the local computer and the domain a-d.site is in good condition

).

Entonces, la contraseña de la computadora se restableció sin reiniciar o volver a unirse al dominio manualmente. Ahora puede iniciar sesión en la computadora usando su cuenta de dominio.

Reset-ComputerMachinePassword -Server mun-dc01.a-d.site -Credential a-d\adm_user1

mun-dc01.a-d.site

Usando el cmdlet Get-ADComputer (del módulo Active Directory para Windows PowerShell), puede verificar la fecha del último cambio de contraseña de la computadora en AD:

Get-ADComputer -Identity mun-wks5431 -Properties PasswordLastSet

También puede verificar si hay un canal seguro entre una computadora y un DC usando este comando:

nltest /sc_verify:a-d.site

Las siguientes líneas confirman que la confianza se ha reparado con éxito:

Trusted DC Connection Status = 0 0x0 NERR_Success
Trust Verification Status = 0 0x0 NERR_Success

Reparar la confianza del dominio usando Netdom

En Windows 7/2008R2 y en versiones anteriores de Windows sin PowerShell 3.0, no puede usar los cmdlets Test-ComputerSecureChannel y Reset-ComputerMachinePassword para restablecer la contraseña de una computadora y reparar la relación de confianza con el dominio. En este caso, utilice el

netdom.exe

herramientas para restaurar un canal seguro con el controlador de dominio.

Netdom está incluido en Windows Server 2008 o posterior, y se puede instalar en las computadoras de los usuarios desde RSAT (herramientas de administración remota del servidor). Para reparar la relación de confianza, inicie sesión con las credenciales de administrador local (escribiendo .\Administrator en la pantalla de inicio de sesión) y ejecute el siguiente comando:

Netdom resetpwd /Server:DomainController /UserD:Administrator /PasswordD:Password

The machine account password for the local machine has successfully reset.

• Servidor es el nombre de cualquier controlador de dominio disponible

• UserD es el nombre del usuario con permisos de administrador de dominio o con privilegios delegados en la unidad organizativa que contiene la cuenta de la computadora.

• PasswordD usuario contraseña

Netdom resetpwd /Server:mun-dc01 /UserD:jsmith /PasswordD:Pra$$w0rd

Después de ejecutar el comando, no necesita reiniciar la computadora: simplemente cierre la sesión y vuelva a iniciarla con su cuenta de dominio.

Como puede ver, es bastante fácil reparar la confianza entre una computadora y un dominio.