ওয়ার্কস্টেশন এবং AD ডোমেনের মধ্যে ভাঙা ট্রাস্ট রিলেশনশিপ রিপেয়ার করা

এই লেখায় আমরা দেখাব কিভাবে একটি ওয়ার্কস্টেশন এবং এক্টিভ ডিরেক্টরি ডোমেনের মধ্যে ভাঙা ট্রাস্ট রিলেশনশিপ ফিক্স করা যায় যখন একজন ব্যবহারকারী তাদের ডোমেন কম্পিউটারে লগঅন করতে পারে না। আসুন সমস্যার মূল কারণ এবং একটি সিকিউর চ্যানেলের মাধ্যমে কম্পিউটার এবং ডোমেন কন্ট্রোলারের মধ্যে ট্রাস্ট রিপেয়ার করার সহজ উপায় বিবেচনা করি কম্পিউটার রিবুট ছাড়া এবং ডোমেন রিজয়েন ছাড়া।

এই ওয়ার্কস্টেশন এবং প্রাইমারি ডোমেনের মধ্যে ট্রাস্ট রিলেশনশিপ ফেল করা।

সমস্যাটি প্রকাশ পায় যখন একজন ব্যবহারকারী ডোমেন ক্রেডেনশিয়াল ব্যবহার করে ওয়ার্কস্টেশন বা মেম্বার সার্ভারে লগঅন করার চেষ্টা করে এবং পাসওয়ার্ড লিখার পর নিচের এরর আসে:

The trust relationship between this workstation and the primary domain failed.

এররটি এইরকমও দেখতে পারে:

The security database on the server does not have a computer account for this workstation trust relationship.

এক্টিভ ডিরেক্টরি ডোমেনে মেশিন (কম্পিউটার) অ্যাকাউন্ট পাসওয়ার্ড

যখন একটি কম্পিউটার এক্টিভ ডিরেক্টরি ডোমেনে জয়েন করা হয়, তবে সেটির জন্য একটি আলাদা কম্পিউটার অ্যাকাউন্ট তৈরি হয়। ব্যবহারকারীদের মতো, প্রতিটি কম্পিউটারের ডোমেনে অথেনটিকেট होने এবং ডোমেন কন্ট্রোলারের সাথে একটি ট্রাস্টেড কানেকশন প্রতিষ্ঠা করার জন্য তার নিজস্ব পাসওয়ার্ড থাকে। যাচ্ছে, ব্যবহারকারীর পাসওয়ার্ডের বিপরীতে, কম্পিউটার পাসওয়ার্ডগুলো অটোমেটিক্যালি সেট ও পরিবর্তন হয়।

AD-এ কম্পিউটার অ্যাকাউন্ট পাসওয়ার্ড সম্পর্কে কিছু গুরুত্বপূর্ণ বিষয়:

• AD-এ কম্পিউটার পাসওয়ার্ড নিয়মিত পরিবর্তন করতে হয় (ডিফল্টভাবে ৩০ দিনে একবার)। টিপ। আপনি Domain member: Maximum machine account password age পলিসি ব্যবহার করে সর্বোচ্চ কম্পিউটার পাসওয়ার্ড आयু কনফিগার করতে পারেন যা Computer Configuration-> Windows Settings-> Security Settings-> Local Policies-> Security Options-এ অবস্থিত। একটি কম্পিউটার পাসওয়ার্ডের লাইফটাইম ০ থেকে ৯৯৯ দিন হতে পারে (ডিফল্ট ৩০ দিন);
• ব্যবহারকারীর পাসওয়ার্ডের বিপরীতে, একটি কম্পিউটার পাসওয়ার্ড এক্সপায়ার হতে পারে না। পাসওয়ার্ড পরিবর্তন কম্পিউটার tarafından শুরু হয়, ডোমেন কন্ট্রোলার দ্বারা নয়। একটি কম্পিউটার পাসওয়ার্ড ডোমেন পাসওয়ার্ড পলিসির অধীন নয়; এমনকি যদি একটি কম্পিউটার ৩০ দিন বা তার বেশি বন্ধ থাকে, তবে আপনি এটি অন করতে পারেন, এবং এটি পুরানো পাসওয়ার্ড দিয়ে আপনার DC-তে অথেনটিকেট হবে। তারপর লোকাল Netlogon সার্ভিস এর লোকাল ডাটাবেসে কম্পিউটার পাসওয়ার্ড পরিবর্তন করবে (পাসওয়ার্ড রেজিস্ট্রি HKLM\SECURITY\Policy\Secrets\$machine.ACC-এ সংরক্ষিত থাকে) এবং তারপর এক্টিভ ডিরেক্টরিতে কম্পিউটার অ্যাকাউন্ট পাসওয়ার্ড আপডেট করবে।
• এক কম্পিউটার পাসওয়ার্ড নিকটতম DC-এ পরিবর্তন হয়, পরিবর্তনগুলো PDC এমুলেটর FSMO রোল সহ ডোমেন কন্ট্রোলারে পাঠানো হয় না (অর্থাৎ, যদি একটি কম্পিউটার এক DC-এ তার পাসওয়ার্ড পরিবর্তন করে, তবে AD পরিবর্তনগুলো রিপ্লিকেট হওয়া পর্যন্ত অন্য DC-এ অথেনটিকেট করতে পারবে না)।

যদি কম্পিউটার ডোমেন কন্ট্রোলারে পাঠানো পাসওয়ার্ডের হ্যাশ AD ডাটাবেসের কম্পিউটার অ্যাকাউন্ট পাসওয়ার্ডের সাথে মিলে না, তবে কম্পিউটার DC-র সাথে একটি সিকিউর কানেকশন প্রতিষ্ঠা করতে পারবে না এবং ট্রাস্টেড কানেকশন এরর রিটার্ন করবে।

সমস্যা কেন হয়:

1. এক কম্পিউটার একটি পুরানো রিস্টোর পয়েন্ট বা স্ন্যাপশট থেকে রিস্টোর করা হয়েছে (ভার্চুয়াল মেশিনের কেসে) যা AD-এ কম্পিউটার পাসওয়ার্ড পরিবর্তন হওয়ার আগে তৈরি করা হয়েছিল। আপনি যদি কম্পিউটারকে এর পূর্বের স্টেটে রোল ব্যাক করেন, তবে এটি পুরানো পাসওয়ার্ড ব্যবহার করে DC-তে অথেনটিকেট করার চেষ্টা করবে। এটি সবচেয়ে সাধারণ সমস্যা;
2. একই নামে একটি কম্পিউটার AD-এ তৈরি করা হয়েছে, অথবা কেউ ADUC কনসোল (dsa.msc) ব্যবহার করে ডোমেনে কম্পিউটার অ্যাকাউন্ট রিসেট করেছে;
3. ডোমেনে কম্পিউটার অ্যাকাউন্ট অ্যাডমিনিস্ট্রেটর দ্বারা ডিজেবল করা হয়েছে (উদাহরণস্বরূপ, নিষ্ক্রিয় AD অবজেক্ট ডিজেবল করার একটি রেগুলার প্রসিডিউরের সময়);
4. কाफी রেयर কেসে যখন একটি কম্পিউটারের সিস্টেম টাইম ভুল থাকে।

কম্পিউটার এবং ডোমেনের মধ্যে ট্রাস্ট রিলেশনশিপ রিপেয়ার করার ক্লাসিক্যাল পদ্ধতি:

1. AD-এ কম্পিউটার অ্যাকাউন্ট রিসেট করুন;
2. লোকাল অ্যাডমিনিস্ট্রেটর অধীনে কম্পিউটারকে ডোমেন থেকে ওয়ার্কগ্রুপে সরান;
3. রিবুট;
4. কম্পিউটারকে আবার ডোমেনে জয়েন করান;
5. আবার কম্পিউটার রিস্টার্ট করুন

পদ্ধতিটি সহজ দেখতে পারে, কিন্তু এটি অনেক জটিল, কমপক্ষে দুবার কম্পিউটার রিস্টার্ট চায় এবং ১০-৩০ মিনিট সময় নেয়। এছাড়া, আপনি পুরনো লোকাল ব্যবহারকারীর প্রোফাইল ব্যবহার করার সমস্যায় পড়তে পারেন।

পাওয়ারশেল ব্যবহার করে ডোমেন রিজয়েন বা কম্পিউটার রিস্টার্ট ছাড়া ট্রাস্ট রিলেশনশিপ রিপেয়ার করার একটি স্মার্ট উপায় আছে।

পাওয়ারশেল ব্যবহার করে কম্পিউটার এবং ডোমেনের মধ্যে ট্রাস্ট রিলেশনশিপ চেক ও রিস্টোর করা

আপনি যদি একটি ডোমেন অ্যাকাউন্টের অধীনে কম্পিউটারে অথেনটিকেট করতে না পারেন এবং নিচের এরর আসে: The trust relationship between this workstation and the primary domain failed, তবে আপনাকে আপনার লোকাল অ্যাডমিনিস্ট্রেটর অ্যাকাউন্ট ব্যবহার করে কম্পিউটারে লগঅন করতে হবে। আপনি নেটওয়ার্ক কেবল আনপ্লাগ করে এবং ডোমেন অ্যাকাউন্ট দিয়ে অথেনটিকেট করুন যা gầnে কম্পিউটারে লগঅন করেছিল Cached Credentials ব্যবহার করে।

এলিভেটেড পাওয়ারশেল কনসোল খুলুন এবং Test-ComputerSecureChannel কmdলেট ব্যবহার করে চেক করুন লোকাল কম্পিউটার পাসওয়ার্ড AD-এ সংরক্ষিত পাসওয়ার্ডের সাথে মিলে কিনা।

Test-ComputerSecureChannel –verbose

যদি পাসওয়ার্ডগুলো মেলে না এবং কম্পিউটার ডোমেনের সাথে ট্রাস্ট রিলেশনশিপ প্রতিষ্ঠা করতে না পারে, তবে কমান্ডটি False রিটার্ন করবে – The Secure channel between the local computer and the domain woshub.com is broken।

AD-এ কম্পিউটার অ্যাকাউন্ট পাসওয়ার্ড জোরপূর্বক রিসেট করতে, এই কমান্ড চালান:

Test-ComputerSecureChannel –Repair –Credential (Get-Credential)

পাসওয়ার্ড রিসেট করার জন্য, কম্পিউটার অ্যাকাউন্ট পাসওয়ার্ড রিসেট করার প্রিভিলেজ সহ একটি ব্যবহারকারীর অ্যাকাউন্টের ক্রেডেনশিয়াল লিখুন। ব্যবহারকারীর অ্যাকাউন্টে এক্টিভ ডিরেক্টরিতে কম্পিউটার ম্যানেজ করার ডেলিগেটেড পারমিশন থাকতে হবে (আপনি ডোমেন অ্যাডমিনস গ্রুপের সদস্যও ব্যবহার করতে পারেন)।

তারপর আবার Test-ComputerSecureChannel চালান নিশ্চিত করতে যে এটি True রিটার্ন করছে (The Secure channel between the local computer and the domain woshub.com is in good condition)।

সুতরাং, কম্পিউটার পাসওয়ার্ড রিস্টার্ট বা ম্যানুয়াল ডোমেন রিজয়েন ছাড়া রিসেট হয়ে গেছে। এখন আপনি আপনার ডোমেন অ্যাকাউন্ট ব্যবহার করে কম্পিউটারে লগঅন করতে পারবেন।

পাসওয়ার্ড জোরপূর্বক রিসেট করতে আপনি Reset-ComputerMachinePassword কmdলেটও ব্যবহার করতে পারেন।

Reset-ComputerMachinePassword -Server mun-dc01.woshub.com -Credential woshub\adm_user1

mun-dc01.woshub.com হলো কম্পিউটার পাসওয়ার্ড পরিবর্তন করার জন্য নিকটতম DC-এর নাম।

প্রতিবার ভার্চুয়াল মেশিন স্ন্যাপশট বা কম্পিউটার রিস্টোর পয়েন্ট তৈরি করার আগে কম্পিউটার পাসওয়ার্ড রিসেট করা উচিত। এতে আপনার জন্য পূর্বের কম্পিউটার স্টেটে রোল ব্যাক করা সহজ হবে।

আপনার যদি একটি ডেভেলপমেন্ট বা টেস্ট এনভায়রনমেন্ট থাকে, যেখানে আপনাকে স্ন্যাপশট থেকে পূর্বের VM স্টেট রিকভার করতে হয়, তবে আপনি এই কম্পিউটারগুলোর জন্য ডোমেনে পাসওয়ার্ড পরিবর্তন ডিজেবল করতে চাইতে পারেন GPO ব্যবহার করে। এর জন্য, Domain member: Disable machine account password changes পলিসি সেট করুন যা Computer Configuration -> Policies -> Windows Settings -> Security Settings -> Local Policies -> Security Options-এ অবস্থিত। আপনি পলিসিটি টেস্ট কম্পিউটার থাকা OU-তে টার্গেট করতে পারেন বা GPO WMI ফিল্টারস ব্যবহার করতে পারেন।

Get-ADComputer কmdলেট ব্যবহার করে (Windows PowerShell-এর জন্য Active Directory মডিউল থেকে), আপনি AD-এ কম্পিউটার পাসওয়ার্ড শেষ পরিবর্তনের তারিখ চেক করতে পারেন:

Get-ADComputer –Identity mun-wks5431 -Properties PasswordLastSet

Test-ComputerSecureChannel এবং Reset-ComputerMachinePassword কmdলেটগুলো পাওয়ারশেল ৩.০ থেকে উপলব্ধ। উইন্ডোজ ৭/উইন্ডোজ সার্ভার ২০০৮ R2-এ পাওয়ারশেল ভার্সন আপডেট করতে হবে।

আপনি নিচের কমান্ড ব্যবহার করে একটি কম্পিউটার এবং DC-এর মধ্যে সিকিউর চ্যানেল আছে কিনা চেক করতে পারেন:

nltest /sc_verify:woshub.com

নিচের লাইনগুলো কনফার্ম করে যে ট্রাস্ট সফলভাবে রিপেয়ার হয়েছে:

Trusted DC Connection Status = 0 0x0 NERR_Success Trust Verification Status = 0 0x0 NERR_Success

Netdom ব্যবহার করে ডোমেন ট্রাস্ট রিপেয়ার করা

উইন্ডোজ ৭/২০০৮R2 এবং পূর্বের উইন্ডোজ ভার্সনে যেগুলোতে পাওয়ারশেল ৩.০ নেই, আপনি Test-ComputerSecureChannel এবং Reset-ComputerMachinePassword কmdলেট কম্পিউটার পাসওয়ার্ড রিসেট করতে এবং ডোমেনের সাথে ট্রাস্ট রিলেশনশিপ রিপেয়ার করতে ব্যবহার করতে পারবেন না। এই কেসে, netdom.exe টুলস ব্যবহার করে ডোমেন কন্ট্রোলারের সাথে সিকিউর চ্যানেল রিস্টোর করুন।

Netdom উইন্ডোজ সার্ভার ২০০৮ বা নতুনতরে অন্তর্ভুক্ত থাকে, এবং ব্যবহারকারীদের কম্পিউটারে RSAT (Remote Server Administration Tools) থেকে ইনস্টল করা যেতে পারে। ট্রাস্ট রিলেশনশিপ রিপেয়ার করতে, লোকাল অ্যাডমিনিস্ট্রেটর ক্রেডেনশিয়াল (লগঅন স্ক্রিনে .\Administrator টাইপ করে) অধীনে লগঅন করুন এবং নিচের কমান্ড চালান:

Netdom resetpwd /Server:DomainController /UserD:Administrator /PasswordD:Password

• Server হলো যেকোনো উপলব্ধ ডোমেন কন্ট্রোলারের নাম
• UserD হলো ডোমেন অ্যাডমিনিস্ট্রেটর পারমিশন বা কম্পিউটার অ্যাকাউন্ট ধারণকারী OU-তে ডেলিগেটেড প্রিভিলেজ সহ ব্যবহারকারীর নাম
• PasswordD ব্যবহারকারীর পাসওয়ার্ড

Netdom resetpwd /Server:mun-dc01 /UserD:jsmith /PasswordD:Pra$$w0rd

কমান্ড চালানোর পর, আপনাকে কম্পিউটার রিবুট করার দরকার নেই: শুধু লগ অফ করুন এবং আবার আপনার ডোমেন অ্যাকাউন্ট ব্যবহার করে লগঅন করুন।

আপনি দেখতে পাচ্ছেন, একটি কম্পিউটার এবং ডোমেনের মধ্যে ট্রাস্ট রিপেয়ার করা খুব সহজ।