Windowsで信頼関係が壊れると、対処に追われるのは本当に辛いものです。通常、ドメインに参加しているマシンがドメインコントローラーと正常に通信できないときに発生し、あの悪名高いエラーメッセージが表示されますThe trust relationship between this workstation and the primary domain failed.。もしこのエラーメッセージが表示され、ドメイン全体に再参加したくない（つまり、再起動してすべてを再構築する）場合は、PowerShellを使ってより早く修復する方法があります。ただし、注意点があります。この方法はローカル管理者権限を持っていることが前提です。ロックアウトされた場合は、まず管理者パスワードをリセットするか、セーフモードで起動する必要があるかもしれません。
このプロセスはちょっと奇妙ですが、時間を大幅に節約できます。基本的に、コンピューターをADから切り離すことなく、ドメインとのセキュアチャネルをリセットします。PowerShellから直接、ADのパスワードを更新することで、マシンの信頼関係を再構築します。ちなみに、この方法で必ず問題が解決するとは限りません。特に、ADでマシンアカウントが無効化されているか破損している場合はなおさらです。しかし、ほとんどの一般的なシナリオでは、ドメインを最初から削除して再追加するよりも早く解決できます。
PowerShell を使用して信頼関係の問題を修正する方法
セキュアチャネルが壊れていないか確認する
- まず、ローカルに管理者としてログインしていることを確認してください。ログイン画面で止まってしまう場合は、ログインする
.\Administratorか、まだ使えるローカルユーザーアカウントでログインしてみてください。Windowsは最近のログイン情報をキャッシュしているので、ドメインユーザーとしてログインした後にネットワークを切断した場合でも、ローカルでログインできる可能性があります。 - 管理者権限でPowerShellウィンドウを開きます（右クリックして「管理者として実行」を選択します）。これを行うには、「スタート」メニューを右クリックし、「Windows PowerShell（管理者）」を選択します。
- 信頼をテストするには、次のコマンドを実行します。
Test-ComputerSecureChannel –Verbose
Falseと表示されている場合は、マシンがドメインとの信頼を確認できないことを意味します。
PowerShell で信頼を回復する
- これを修正するには、次を実行します:
Test-ComputerSecureChannel -Repair -Credential domain\admin_user -Verbose
実際のドメインと管理者ユーザー名に置き換えてくださいdomain\admin_user。このコマンドは、ドメイン資格情報を使用してセキュアチャネルをリセットし、AD内のマシンのパスワードを更新しようとします。設定によっては、権限がオフになっている場合やマシンアカウントが無効になっている場合に、このコマンドでエラーが発生することがあります。その場合は、「Active Directory ユーザーとコンピューター」でマシンアカウントがまだ存在し、有効になっていることを再度確認してください。
それでも失敗する場合は、マシンのパスワードを直接リセットしてみてください
- これは、標準的な修復が機能しない場合、または信頼の問題が繰り返し発生する場合に役立ちます。次のコマンドを実行してください。
Reset-ComputerMachinePassword -Server domain-controller.woshub.com -Credential domain\admin_user
最も近いドメインコントローラのホスト名に置き換えてくださいdomain-controller.woshub.com。これにより、AD内のマシンのパスワードが強制的にリセットされます。場合によっては、これだけでドメインに再参加することなく信頼関係が修復されることがあります。
ヒント：ドメインコントローラーのホスト名がわからない場合は、 で確認するnslookupか、ネットワーク管理者に問い合わせてください。通常は、メインのDNSサーバーのホスト名（ など）ですdc1.yourdomain.com。また、権限を確認してください。権限がないと、これらのコマンドは何も機能しません。
信頼が失われる理由を理解する
仕組みはこうです。ドメインに参加しているすべてのPCには、秘密のパスワード（マシンアカウントのパスワード）があり、約30日ごとに自動的に更新されます。PCのパスワードがADに保存されているパスワードと一致しない場合（古いスナップショットから復元した場合、Sysprepを使用せずにマシンをクローンした場合、またはADアカウントを手動でリセットした場合など）、信頼関係が失われます。Windowsはドメインとの安全な通信を拒否します。これは基本的に、「もうあなたを信頼していません」と言っているようなものです。
その他の原因としては、時刻同期の問題（時計が大きくずれている場合）、または誰かがADのマシンアカウントを無効化または削除したことなどが挙げられます。長期間オフライン状態（パスワード変更期間の30日間以上）だったマシンは、オンラインに戻った際に正しく同期されないという問題が発生することもあります。
このような場合、AD でマシンアカウントを再度有効にするか、手動でパスワードをリセットすることで、信頼を回復できる可能性があります。また、VM を復元する場合やラボ環境でテストする場合は、自動パスワード変更ポリシーを無効にすることを検討してください。
次回、急いでいるときに信頼の問題が突然発生したときに、これらのトリックが頭痛の種を軽減してくれることを願っています。