Восстанавливаем доверие в домене

Как и учетные записи пользователей, учетные записи компьютеров в домене имеют свой пароль. Пароль этот нужен для установления так называемых «доверительных отношений» между рабочей станцией и доменом. Пароли для компьютеров генерируются автоматически и также автоматически каждые 30 дней изменяются.

Домен хранит текущий пароль компьютера, а также предыдущий, на всякий случай 🙂 . Если пароль изменится дважды, то компьютер, использующий старый пароль, не сможет пройти проверку подлинности в домене и установить безопасное соединение. Рассинхронизация паролей может произойти по разным причинам, например компьютер был восстановлен из резервной копии, на нем была произведена переустановка ОС или он просто был долгое время выключен. В результате при попытке входа в домен нам будет выдано сообщение о том, что не удается установить доверительные отношения с доменом.

Для восстановления доверительных отношений существует несколько способов. Рассмотрим их все по порядку.

Открываем оснастку «Active Directory Users and Computers» и находим в ней нужный компьютер. Кликаем на нем правой клавишей мыши и в контекстном меню выбираем пункт «Reset Account». Затем заходим на компьютер под локальной учетной записью и заново вводим его в домен.

Примечание. Кое где встречаются рекомендации удалить компьютер из домена и заново завести. Это тоже работает, однако при этом компьютер получает новый SID и теряет членство в группах, что может привести к непредсказуемым последствиям.

Способ этот довольно громоздкий и небыстрый, т.к. требует перезагрузки, однако работает в 100% случаев.

Заходим на компьютер, которому требуется сбросить пароль, открываем командную консоль обязательно от имени администратора и вводим команду:

Netdom Resetpwd /Server:SRV1 /UserD:Administrator /PasswordD:*

где SRV1 — контролер домена, Administrator — административная учетная запись в домене. Дополнительно можно указать параметр /SecurePasswordPrompt, который указывает выводить запрос пароля в специальной форме.

В открывшемся окне вводим учетные данные пользователя и жмем OK. Пароль сброшен и теперь можно зайти на компьютер под доменной учетной записью. Перезагрузка при этом не требуется.

Что интересно, в рекомендациях по использованию и в справке написано, что команду Netdom Resetpwd можно использовать только для сброса пароля на контролере домена, другие варианты использования не поддерживаются. Однако это не так, и команда также успешно сбрасывает пароль на рядовых серверах и рабочих станциях.

Еще с помощью Netdom можно проверить наличие безопасного соединения с доменом:

Netdom Verify WKS1 /Domain:Contoso.com /UserO:Administrator /PasswordO:*

Или сбросить учетную запись компьютера:

Netdom Reset WKS1 /Domain:Contoso.com /UserO:Administrator /PasswordO:*

где WKS1 — рабочая станция, которой сбрасываем учетку.

Способ достаточно быстрый и действенный, однако есть одно но: по умолчанию утилита Netdom есть только на серверах с установленной ролью Active Directory Domain Services (AD DS). На клиентских машинах она доступна как часть пакета удаленного администрирования Remote Server Administration Tools (RSAT).

Еще одна утилита командной строки — Nltest. На компьютере, который потерял доверие, выполняем следующие команды:

Nltest /query — проверить безопасное соединение с доменом;

Nltest /sc_reset:Contoso.com — сбросить учетную запись компьютера в домене;

Nltest /sc_change_pwd:Contoso.com — изменить пароль компьютера.

Самый быстрый и доступный способ, ведь утилита Nltest по умолчению есть на любой рабочей станции или сервере. Однако, в отличие от Netdom, в которой предусмотрен ввод учетных данных, Nltest работает в контексте запустившего ее пользователя. Соответственно, зайдя на компьютер под локальной учетной записью и попытавшись выполнить команду можем получить ошибку доступа.

PowerShell тоже умеет сбрасывать пароль копьютера и восстанавливать безопасное соеднение с доменом. Для этого существует командлет Test-ComputerSecureChannel . Запущенный без параметров он выдаст состояние защищенного канала — True или False.

Для сброса учетной записи компьютера и защищенного канала можно использовать такую команду:

Test-ComputerSecureChannel -Server SRV1 -Credential Contoso\Administrator -Repair

где SRV1 — контролер домена (указывать не обязательно).

Для сброса пароля также можно также воспользоваться такой командой:

Reset-ComputerMachineChannel -Server SRV1 -Credential Contoso\Administrator

Способ быстрый и удобный, не требующий перезагрузки. Но и здесь есть свои особенности. Ключ -Credential впервые появился в PowerShell 3.0. Без этого параметра командлет, запущенный из под локального пользователя, выдает ошибку доступа. Получается что данный метод можно использовать только на Windows 8 и Server 2012, ведь для остальных ОС PowerShell 3.0 пока недоступен.

Как видите, способов восстановления доверительных отношений более чем достаточно. Однако если проблема приобретает постоянный характер, то проще подойти к ее решению с другой стороны.

Изменение параметров смены пароля компьютера

Смена пароля в домене происходит следующим образом:

Каждые 30 дней рабочая станция отправляет ближайшему контролеру домена запрос на изменение пароля учетной записи компьютера. Контролер принимает запрос, пароль изменяется, а затем изменения передаются на все контролеры в домене при следующей репликации.

Некоторые параметры смены пароля можно изменять. Например, можно изменить временной интервал или совсем отключить смену паролей. Сделать это можно как для отдельных компьютеров, так и для групп.

Если настройки необходимо применить к группе компьютеров, то проще всего использовать групповую политику. Настройки, отвечающие за смену паролей, находятся в разделе Computer Configuration — Policies — Windows Settings — Security Settings — Local Policies — Security Options. Нас интересуют следующие параметры:

Disable machine account password change — отключает на локальной машине запрос на изменение пароля;

Maximum machine account password age — определяет максимальный срок действия пароля компьютера. Этот параметр определяет частоту, с которой член домена будет пытаться изменить пароль. По умолчанию срок составляет 30 дней, максимально можно задать 999 дней;

Refuse machine account password changes — запрещает изменение пароля на контролерах домена. Если этот параметр активировать, то контролеры будут отвергать запросы компьютеров на изменение пароля.

Для одиночной машины можно воспользоваться настройками реестра. Для этого в разделе HKLM\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters есть два параметра :

DisablePasswordChange — если равен 1, то запрос на обновление пароля компьютера отключен, 0 — включен.

MaximumPasswordAge — определяет максимальный срок действия пароля компьютера в днях. При желании можно задать более 1 миллиона дней .

И в разделе HKLM\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters , только у контролеров домена, параметр:

RefusePasswordChange — если равен 1, то запрещает контролеру домена принимать запрос на изменение пароля. Этот параметр надо задать на всех контролерах в домене.

Вот вроде и все про доверительные отношения. Как видите, доверие в домене — штука тонкая, так что старайтесь его не терять.

Удаленное администрирование серверов — инструменты, установка и настройка в Windows 10

Введение

Ранние версии Windows Server имели графический интерфейс, похожий на другие аналогичные клиенты. Это упрощало администрирование, поскольку пользователю не нужно было изучать два разных интерфейса. Для удаленного администрирования нужно было подключиться к серверу с помощью удаленного рабочего стола. Однако информация сеанса терялась по завершении сеанса RDP . С переходом к версиям Windows Server без GUI-интерфейса возникла необходимость удаленного управления сервером без входа или выхода из сеанса RDP . Пакет, включающий в себя средства удаленного администрирования сервера ( RSAT ), был создан специально для решения этой проблемы.

В этой статье мы рассмотрим, что представляют собой инструменты RSAT в Windows 10 , а также запустим « Диспетчер серверов » и попытаемся подключиться к удаленному серверу.

Удаленное администрирование серверов в Windows 10 — доступные средства

RSAT позволяет администраторам запускать инструменты на удаленном сервере для управления его функциями, ролями и службами. Windows 10 имеет встроенную поддержку RSAT . Ниже представлены различные возможности установки RSAT :

• Установлен по умолчанию в Windows Server 2016 , Windows Server 2012 , Windows Server 2012 R2 и более ранних версиях;
• Может быть загружен и установлен как автономный пакет обновлений на клиентах под управлением Windows 10 Professional , Windows 10 Enterprise и Windows 10 Education ;
• Невозможно установить на клиентах под управлением Windows 10 Home или любой ARM-версии ;
• Невозможно установить на любой из серверных версий операционной системы;
• Поддерживается удаленное администрирование Windows Server Core или минимального интерфейса Windows Server 2016 , Windows Server 2012 R2 и в некоторых случаях Windows Server 2012 .

Доступные инструменты

Матрицу поддержки RSAT на платформе Windows 10 можно найти здесь . Ключевым моментом является то, что инструменты Hyper-V не являются частью RSAT для Windows 10 , в отличие от более ранних версий. Hyper-V поставляется как часть Windows 10 и может использоваться без установки RSAT . Другие инструменты, которые недоступны в данном релизе:

• Утилиты администрирования BitLocker Drive Encryption ;
• Direct Access ;
• Routing and Remote Access ;
• Remote Desktop Services ;
• Windows PowerShell cmdlets for Cluster Aware Updating ;
• Windows PowerShell cmdlets for Best Practices Analyzer .

Настройка доступных инструментов

Начнем с установки RSAT для Windows 10 . Как уже было сказано, RSAT доступен только для Windows 10 Professional , Enterprise и Education. Он может работать как на 86-разрядной , так и на 64-разрядной версии Windows 10 . Обратите внимание, что предыдущие версии RSAT следует удалить до установки актуальной версии. Чтобы получить доступ к версиям Windows Server 2012 и Windows Server 2008 и управлять ими, необходимы дополнительные обновления для этой версии RSAT . Также обратите внимание, что на удаленном сервере должно быть включено дистанционное управление Windows PowerShell и « Диспетчер серверов ».

Средства удаленного администрирования активированы по умолчанию в Windows Server 2016 , 2012 R2 и 2012 . Следующие шаги были выполнены на устройстве с установленной операционной системой Windows 10 Enterprise x64 , работающей в VMWare . Вы должны повторить их в собственной системе.

• Загрузите файл настройки RSAT:

• Необходимо выбрать программу установки, соответствующую используемой архитектуре. В данном случае это 64-разрядная система , поэтому мы загрузим файл WindowsTH-KB2693643-x64.msu ;
• Дважды кликните по файлу установщика, чтобы начать инсталляцию. Примите условия лицензии и дождитесь окончания установки;
• В более ранних версиях Windows после установки пакета RSAT приходилось вручную активировать эти инструменты. Но в Windows 10 эти инструменты доступны для использования сразу после завершения установки. Флажок рядом с инструментами RSAT установлен. Это означает, что мы можем продолжать:

• Теперь перейдите в Панель управления — Система и безопасность — Администрирование , чтобы найти все установленные инструменты RSAT :

• Перейдите в Панель управления — Программы — Удалить программу ;
• Нажмите « Просмотр установленных обновлений »;
• Кликните правой кнопкой мыши по элементу « Обновление для Microsoft Windows (KB2693643) » и выберите пункт « Удалить »;
• Подтвердите действие, нажав кнопку « Да »:

• Перейдите в Панель управления — Программы — Программы и компоненты и нажмите « Включить компоненты Windows »;
• Снимите флажки напротив тех инструментов, которые вы хотите удалить:

Запуск диспетчера серверов

Инструменты, включенные в пакет RSAT , не могут использоваться для управления локальным компьютером. В диспетчере серверов должен быть указан удаленный сервер. Большинство инструментов RSAT интегрированы в диспетчер серверов, поэтому рекомендуется сначала добавить в него пулы серверов перед развертыванием этих инструментов. Чтобы запустить диспетчер серверов:

• Откройте меню « Пуск », и кликните по элементу « Диспетчер серверов ». Или кликните по полю поиска Cortana в панели задач и начните вводить « Диспетчер серверов ». Вы должны увидеть соответствующую строку в Cortana . Нажмите на эту строку, чтобы запустить « Диспетчер серверов »:

• Откроется панель управления диспетчера серверов:

• В ней можно добавлять удаленные серверы и назначать роли для них;
• Если ПК является частью домена, можно выполнить поиск серверов в Active Directory вашей организации, или ввести IP-адрес по своему выбору. Также можно импортировать адреса серверов из файла;
• В меню « Инструменты » перечислены все инструменты RSAT , доступные для удаленного администрирования сети.

Профессиональные советы

Иногда приходится работать на различных клиентах, и нужно иметь возможность управлять удаленным сервером с них. Но повторная настройка может занять много времени. Если версии диспетчера серверов на различных клиентах аналогичны, можно скопировать файлы из указанных ниже мест на исходном клиенте в те же места на новом клиенте. Таким образом, при последующем запуске диспетчера серверов на новом клиенте вы найдете конфигурацию, заданную на предыдущем клиенте.

Скопируйте файлы из следующих расположений:

Помните, что версии диспетчера серверов на исходном и новом клиентах должны быть идентичны.

Известные ошибки

В настоящее время RSAT поддерживает только локализацию EN-US . Если вы инсталлируете RSAT на машине, для которой задан регион, отличный от EN-US , установка будет выполнена, но в диалоговом окне « Включение и выключение компонентов Windows » вы не увидите ни одного из инструментов. Чтобы решить эту проблему, установите языковый пакет EN-US . После того, как настроите инструменты в диалоговом окне « Включение и отключение компонентов Windows », можно вновь задать свой регион и язык.

Заключение

В этой статье мы привели краткое руководство по работе с пакетом RSAT и Диспетчером серверов для Windows 10 удаленного администрирования . RSAT устанавливается и настраивается очень просто. Он позволяет эффективно администрировать удаленный сервер. « Диспетчер серверов » включает в себя большое количество различных функций, для полного рассмотрения которых требуется отдельное руководство.

Отказ от использования графического интерфейса на серверах является желательным, поскольку это минимизирует различные риски, а также разгружает ЦП и ОЗУ .