Oversigt
For hver Windows 2000- eller Windows XP-arbejdsstation eller -server, der er medlem af et domæne, er der en separat kommunikationskanal, kaldet sikkerhedskanalen, med en domænecontroller.Sikkerhedskanalens adgangskode gemmes sammen med computerkontoen på alle domænecontrollere. I Windows 2000 eller Windows XP er standardperioden for ændring af adgangskoden til computerkontoen hver 30. dag. Hvis computerkontoens adgangskode og LSA-hemmeligheden af en eller anden grund ikke er synkroniseret, logfører Netlogon-tjenesten en eller begge af følgende fejlmeddelelser:
NETLOGON-hændelses-id 5723:Sessionskonfigurationen fra computeren DOMAINMEMBER kunne ikke godkendes. Navnet på den konto, der refereres til i sikkerhedsdatabasen, er DOMAINMEMBER$. Følgende fejl opstod: Adgang nægtet.
NETLOGON-hændelses-id 3210:Kunne ikke godkendes med \\DOMAINDC, en Windows NT-domænecontroller for domæneDOMÆNE.
Netlogon-tjenesten på domænecontrolleren logger følgende fejlmeddelelse, når adgangskoden ikke er synkroniseret:
NETLOGON-hændelses-id 5722:Sessionskonfigurationen fra computerens computernavn kunne ikke godkendes. Navnet på den konto, der refereres til i sikkerhedsdatabasen, er AccountName$.Følgende fejl opstod:Adgang nægtet.
I denne artikel beskrives fire måder at nulstille computerkonti på i Windows 2000 eller Windows XP. Disse metoder er som følger:
-
Brug af kommandolinjeværktøjet Netdom.exe
-
Brug af kommandolinjeværktøjetNltest.exe Bemærk! Værktøjerne Netdom.exe og Nltest.exe findes på cd-rom'en Windows Server i mappen Support\Værktøjer. Hvis du vil installere disse værktøjer, skal du køre Setup.exe eller udpakke filerne fra den Support.cab fil.
-
Brug af Active Directory-brugere og -computere Microsoft Management Console (MMC)
-
Brug af et Microsoft Visual Basic-script
Disse værktøjer giver mulighed for fjernadministration og ikke-fjernadministration. Netdom.exe og Nltest.exe er kommandolinjeværktøjer, der nulstiller en etableret sikkerhedskanal. Du kan ikke bruge disse værktøjer, når sikkerhedskanalen er ødelagt, og kommunikationen ikke fungerer korrekt.
Flere oplysninger
Netdom.exe
For hvert medlem er der en separat kommunikationskanal (sikkerhedskanalen) med en domænecontroller. Sikkerhedskanalen bruges af Netlogon-tjenesten på medlemmet og på domænecontrolleren til at kommunikere. Netdom gør det muligt at nulstille medlemmets sikkerhedskanal. Du kan nulstille medlemssikkerhedskanalen ved hjælp af følgende kommando:
netdom reset 'machinename' /domain:'domainnamewhere 'machinename' = the local computer name and 'domainname' = the domain where the computer/machine account is stored.Antag, at du har et domænemedlem med navnet DOMÆNEMEDLEM i et domæne kaldet MYDOMAIN. Du kan nulstille medlemssikkerhedskanalen ved hjælp af følgende kommando:
netdom reset domainmember /domain:mydomainDu kan køre denne kommando på medlemmet DOMAINMEMBER eller på et andet medlem eller en domænecontroller for domænet, forudsat at du er logget på med en konto, der har administratoradgang til DOMÆNEMEDLEM.
Nltest.exe
Nltest.exe kan bruges til at teste tillidsforholdet mellem en computer, der kører Windows 2000 eller Windows XP, og som er medlem af et domæne, og en domænecontroller, som computerens konto er placeret på.
C:\Ntreskit\Nltest.exeBrug: nltest [/OPTIONS] /SC_QUERY:DomainName - Forespørgselssikkerhedskanal for domæne på Servernavn /SERVER:ServerNavn /SC_VERIFY:Domænenavn – Kontrollerer sikkerhedskanalen i det angivne domæne for en lokal eller fjernarbejdsstation, server eller domænecontroller. Flag: 30 HAS_IP HAS_TIMESERV betroet DC-navn \\server.windows2000.com Status for dc-forbindelse, der er tillid til = 0 0x0 NERR_SuccessKommandoen blev fuldført
Active Directory-brugere og -computere (DSA)
Med Windows 2000 eller Windows XP kan du også nulstille computerkontoen fra den grafiske brugergrænseflade. I Active Directory-brugere og -computere MMC (DSA) kan du højreklikke på computerobjektet i beholderen Computere eller den relevante objektbeholder og derefter klikke på Nulstil konto. Dette nulstiller computerkontoen. Nulstilling af adgangskoden for domænecontrollere, der bruger denne metode, er ikke tilladt. Hvis du nulstiller en computerkonto, afbrydes computerens forbindelse til domænet, og det kræves, at den tilsluttes domænet igen. Bemærk! Dette forhindrer en etableret computer i at oprette forbindelse til domænet og bør kun bruges til en computer, der lige er blevet genopbygget.
Microsoft Visual Basic-script
Du kan bruge et script til at nulstille computerkontoen. Du skal oprette forbindelse til computerkontoen ved hjælp af IADsUser-grænsefladen. Du kan derefter bruge metoden SetPassword til at angive adgangskoden til en startværdi. Den oprindelige adgangskode på en computer er altid "computernavn$".Følgende eksempelscripts fungerer muligvis ikke i alle miljøer og bør testes før implementering. Det første eksempel er til Windows NT 4.0-computerkonti, og det andet er til Windows 2000- eller Windows XP-computerkonti.
Eksempel 1
Dim objComputerSet objComputer = GetObject("WinNT://WINDOWS2000/computername$")objComputer.SetPassword "computername$"Wscript.Quit
Eksempel 2
Dim objComputerSet objComputer = GetObject("LDAP://CN=computername,DC=WINDOWS2000,DC=COM")objComputer.SetPassword "computername$"Wscript.Quit
Du kan finde flere oplysninger om, hvordan du finder ud af, om dato og klokkeslæt for begivenheden 5722 svarer til den afkodede dato og det afkodede klokkeslæt, ved at klikke på nedenstående artikelnumre for at få vist artiklerne i Microsoft Knowledge Base:
175024 Nulstilling af sikker kanal for domænemedlem
810977 Hændelses-id 5722 er logget på din Windows 2000 Server-baserede domænecontroller
