PC "fliegt" immer wieder aus dem AD

[Userle 145]

Mal so ins Blaue gefragt: Die Zeiten auf Deinen Geräten sind aber schon synchron oder? Nicht das der betroffene Client zu sehr abweicht.

 

Vielleicht hilft Dir ja auch dieser Link weiter: Computerkennwörter, der Secure Channel und die Fehlermeldung „Die Vertrauensstellung zwischen dieser Arbeitsstation und der primären Domäne konnte nicht hergestellt werden” - Weisheiten - der Netz-Weise Blog (netz-weise-it.training)

 

Greetings Ralf

[Seppim 14]

Vielen Dank. Ich konnte nun einen Screenshot bekommen. Es ist doch eine etwas andere Fehlermeldung:

 

Wenn ich aufs Netzwerk klicke, ist der Zusatz "nicht authentifiziert".

 

Ich konnte das Login wieder ermöglichen mit:

Als lokaler Admin einloggen und ausführen von:

Reset-ComputerMachinePassword -Server MyDC -Credential contoso\admin

 

Ein Neustart war nicht nötig ... aber warum wurde das Maschine Password nicht erneuert ... der PC wird mind. alle 2 Tage benutzt.

 

 

 

[NorbertFe 2.061]

Setzt ihr 802.1x für lan ein?

[Seppim 14]

Hallo Norbert!

 

Nein, einfache VLAN basierte Mikrotik Switche mit Windows Server 2019 DHCP. Kein Radius oder ähnliches.

Von 24 PC´s am selben Switch macht immer nur der PC 24 die Zicken

[NilsK 2.957]

Moin,

 

der Ablauf deutet darauf hin, dass das Computerkennwort sehr wohl erneuert wurde, aber der PC danach ein Problem hat. Da muss also an dem Rechner was im Busch sein. 

 

Das Computerkennwort wird nur dann gewechselt, wenn der Client selbst das anfordert und durchführt. Das AD macht da nix von selbst, es legt nur den Turnus fest, in dem das geschehen soll. Der Ablauf soll genau solche Phänomene verhindern, dass ein Client sich plötzlich nicht mehr anmelden kann.

 

Solche Phänomene kenne ich aus Umgebungen, in denen mit Images gearbeitet wird oder mit Mechanismen, die einen Rechner irgendwie auf einen "definierten Stand" zurücksetzen.

 

Gruß, Nils

 

[Seppim 14]

Hallo Nils!

 

Vielen Dank ... ja, der Rechner ist ein von mir geklonter ... wie 25 andere zur selben Zeit auch ... der Verdacht liegt natürlich nahe, aber habe bis dato keinen Ansatz, wo ich das Problem suchen soll.

 

Ich logge mich einmal als lokaler Admin ein und durchsuche die Richtlinien und Logs ... merkwürdig ist eben nur, das es nur den einen betrifft.

 

[Gulp 260]

.... meist der eine, bei dem die SID vorm cloning warum auch immer nicht geändert wurde oder sich 2 Rechner ein Computerkonto "teilen".

 

Grüsse

 

Gulp

[Sunny61 807]

vor 15 Minuten schrieb Seppim:

ja, der Rechner ist ein von mir geklonter ... wie 25 andere zur selben Zeit auch

Ohne jetzt den kompletten Thread gelesen zu haben, SYSPREP wurde ausgeführt?

[Seppim 14]

Hallo Sunny61

 

nein, Sysprep wurde noch nie ausgeführt, da die Quelle sonst die installierten Programme verliert. In der Domäne bekommt der Rechner sowieso danach eine eigene SID.

 

vor 1 Stunde schrieb Gulp:

.... meist der eine, bei dem die SID vorm cloning warum auch immer nicht geändert wurde oder sich 2 Rechner ein Computerkonto "teilen".

 

Grüsse

 

Gulp

 

Würde es dann nicht auch die anderen betreffen?

Hast du einen Tipp, wie ich das prüfen kann? Die 24 PC´s wurden ja alle aus der Domäne entfernt, alle Reste in der Domäne an Computer Accounts gelöscht und sauber neu eingefügt. Da kann es doch nicht sein, das 2 Rechner sich ein Konto teilen?

bearbeitet 14. Oktober 2022 von Seppim

[NilsK 2.957]

Moin,

 

fehlendes Sysprep ist aus verschiedenen Gründen keine gute Idee, aber mit dem SID des Computerkontos im AD hat Sysprep tatsächlich nichts zu tun. Der lokale SID und der AD-SID sind zwei getrennte Dinge. Dass dasselbe Computerkonto von mehr als einem Computer verwendet wird, ist durch Klonen der lokalen Installation nicht zu erreichen. Die müssten sich dann ja auch mit demselben Namen melden.

 

Gruß, Nils

PS.

[Eindeutige Computer-SIDs unwichtig? | faq-o-matic.net]
https://www.faq-o-matic.net/2009/11/17/eindeutige-computer-sids-unwichtig/

 

und:

https://learn.microsoft.com/en-us/archive/blogs/markrussinovich/the-machine-sid-duplication-myth-and-why-sysprep-matters

 

bearbeitet 14. Oktober 2022 von NilsK

[Squire 265]

Am 14.10.2022 um 11:46 schrieb Seppim:

nein, Sysprep wurde noch nie ausgeführt, da die Quelle sonst die installierten Programme verliert. In der Domäne bekommt der Rechner sowieso danach eine eigene SID.

 

warum sollte das sein? die Applikationen bleiben. (außer vielleicht welche aus dem Microsoft Store)

 

[Seppim 14]

Er hat mir Sysprep mit einem Fehler verweigert ... wegen einer oder mehreren Applikation die installiert waren .. ist leider schon etwas länger her .. vielleicht versuche ich ein Image mit sysprep nochmal neu zu erstellen.

[Squire 265]

der Fehler kommt von den installierten Microsoft Store Apps - die angemeckerten runterwerfen dann geht Sysprep.

Die normal installierten klassischen Apps verursachen keinen Fehler und bleiben auch auf dem Rechner

 

Bei Dell gibt es einen KB Artikel dazu ... https://www.dell.com/support/kbdoc/de-de/000125471/syspräpariering-windows-10-kann-nach-der-installation-von-microsoft-security-update-kb4056892-fehlschlagen - der Titel ist etwas irreführend aber der Artikel behandelt genau das Problem mit den Apps

 

oder hier: https://portal.nutanix.com/page/documents/kbs/details?targetId=kA00e000000Cr91CAC

bearbeitet 17. Oktober 2022 von Squire

[Seppim 14]

Alles klar ... danke ... dann erstelle ich bei Zeiten ein neues Images, wenn wieder einmal PCs zum bespielen sind.

 

Jedoch warum das Computer Passwort am Server nicht aktualisiert wurde ist dennoch unklar ... inzwischen ist wohl auch wieder PC08 betroffen .. PC08 und PC24 sind die 2, die immer das Problem haben.

 

Oder ist es so zu verstehen, das entweder der PC oder das Konto am Server sein Kennwort geändert hat? Initialisiert wird dies durch den PC ... weiß jemand wo im Log ist suchen kann, ob ein Fehler vorgelegen ist?

[NilsK 2.957]

Moin,

 

das haben wir doch jetzt schon mehrfach beantwortet. Das Computerkennwort wird durch den Client (also den PC) geändert. Dieser fordert das AD an, das Kennwort einzutragen, und wenn das als erfolgreich zurückgemeldet wird, führt auch der Client den Wechsel tatsächlich durch. Das AD macht da von selbst überhaupt nichts.

 

Was da bei deinen beiden Rechnern im Busch ist, können wir dir aus der Ferne nicht sagen. Es wäre klug, sich die Eventlogs der Rechner intensiv anzusehen, insbesondere das System- und das Sicherheitsprotokoll. Wonach du genau schauen sollst, können wir dir auch nicht sagen, weil so ein Verhalten eben fehlerhaft ist.

 

Gruß, Nils