Sammanfattning
För varje Windows 2000- eller Windows XP-arbetsstation eller -server som är medlem i en domän finns det en diskret kommunikationskanal, som kallas säkerhetskanalen, med en domänkontrollant.Säkerhetskanalens lösenord lagras tillsammans med datorkontot på alla domänkontrollanter. För Windows 2000 eller Windows XP är lösenordsändringsperioden som standard var 30:e dag. Om datorkontots lösenord och LSA-hemligheten av någon anledning inte synkroniseras loggar Netlogon-tjänsten ett eller båda av följande felmeddelanden:
NETLOGON-händelse-ID 5723:Det gick inte att autentisera sessionskonfigurationen från datorn DOMAINMEMBER. Namnet på kontot som refereras i säkerhetsdatabasen är DOMAINMEMBER$. Följande fel uppstod: Access nekas.
NETLOGON-händelse-ID 3210:Det gick inte att autentisera med \\DOMAINDC, en Windows NT-domänkontrollant för domänDOMÄN.
Netlogon-tjänsten i domänkontrollanten loggar följande felmeddelande när lösenordet inte synkroniseras:
NETLOGON-händelse-ID 5722:Sessionskonfigurationen från datorn ComputerName kunde inte autentiseras. Namnet på kontot som refereras i säkerhetsdatabasen är AccountName$.Följande fel uppstod:Access nekas.
I den här artikeln beskrivs fyra sätt att återställa datorkonton i Windows 2000 eller Windows XP. Följande metoder är:
-
Använda kommandoradsverktyget Netdom.exe
-
Använda kommandoradsverktygetNltest.exe Obs! Verktygen för Netdom.exe och Nltest.exe finns på den Windows Server CD-ROM-skivan i mappen Support\Verktyg. Om du vill installera dessa verktyg kör du Setup.exe eller extraherar filerna från den Support.cab filen.
-
Använda Active Directory - användare och datorer Microsoft Management Console (MMC)
-
Använda ett Microsoft Visual Basic-skript
De här verktygen möjliggör fjärradministration och icke-fjärradrering. Netdom.exe och Nltest.exe är kommandoradsverktyg som återställer en etablerad säkerhetskanal. Du kan inte använda de här verktygen när säkerhetskanalen är trasig och kommunikationen inte fungerar som den ska.
Mer information
Netdom.exe
För varje medlem finns det en diskret kommunikationskanal (säkerhetskanalen) med en domänkontrollant. Säkerhetskanalen används av Netlogon-tjänsten på medlemmen och på domänkontrollanten för att kommunicera. Netdom gör det möjligt att återställa medlemmens säkerhetskanal. Du kan återställa medlemmens säkerhetskanal med följande kommando:
netdom reset 'machinename' /domain:'domainnamewhere 'machinename' = the local computer name and 'domainname' = the domain where the computer/machine account is stored.Anta att du har en domänmedlem med namnet DOMAINMEMBER i en domän som heter MYDOMAIN. Du kan återställa medlemmens säkerhetskanal med följande kommando:
netdom reset domainmember /domain:mydomainDu kan köra det här kommandot på medlemmen DOMAINMEMBER eller på någon annan medlem eller domänkontrollant för domänen, förutsatt att du är inloggad med ett konto som har administratörsåtkomst till DOMAINMEMBER.
Nltest.exe
Nltest.exe kan användas för att testa förtroenderelationen mellan en dator med Windows 2000 eller Windows XP som är medlem i en domän och en domänkontrollant där datorkontot finns.
C:\Ntreskit\Nltest.exeAnvändning: nltest [/OPTIONS] /SC_QUERY:DomainName - Query säkerhetskanal för domän på ServerName /SERVER:ServerName /SC_VERIFY:DomainName – Verifierar säkerhetskanalen i den angivna domänen för en lokal eller fjärrarbetsstation, server eller domänkontrollant. Flaggor: 30 HAS_IP HAS_TIMESERV Trusted DC Name \\server.windows2000.com Trusted DC Connection Status Status = 0 0x0 NERR_SuccessKommandot har slutförts
Active Directory - användare och datorer (DSA)
Med Windows 2000 eller Windows XP kan du också återställa datorkontot från det grafiska användargränssnittet (GUI). I Active Directory - användare och datorer MMC (DSA) kan du högerklicka på datorobjektet i behållaren Datorer eller lämplig behållare och sedan klicka på Återställ konto. Då återställs datorkontot. Det är inte tillåtet att återställa lösenordet för domänkontrollanter med den här metoden. Om du återställer ett datorkonto bryts datorns anslutning till domänen och den måste återansluta till domänen. Obs! Detta förhindrar att en etablerad dator ansluter till domänen och bör endast användas för en dator som just har byggts om.
Microsoft Visual Basic-skript
Du kan använda ett skript för att återställa datorkontot. Du måste ansluta till datorkontot med IADsUser-gränssnittet. Du kan sedan använda metoden SetPassword för att ange lösenordet till ett initialt värde. Det ursprungliga lösenordet för en dator är alltid "datornamn$".Följande exempelskript kanske inte fungerar i alla miljöer och bör testas före implementeringen. Det första exemplet gäller datorkonton i Windows NT 4.0 och det andra är för datorkonton i Windows 2000 eller Windows XP.
Exempel 1
Dim objComputerSet objComputer = GetObject("WinNT://WINDOWS2000/computername$")objComputer.SetPassword "computername$"Wscript.Quit
Exempel 2
Dim objComputerSet objComputer = GetObject("LDAP://CN=computername,DC=WINDOWS2000,DC=COM")objComputer.SetPassword "computername$"Wscript.Quit
Om du vill ha mer information om hur du avgör om datum och tid för händelse 5722 matchar det avkodade datumet och tiden klickar du på följande artikelnummer för att visa artiklarna i Microsoft Knowledge Base:
175024 Återställa säker kanal för domänmedlem
810977 Händelse-ID 5722 loggas på din Windows 2000 Server-baserade domänkontrollant
