信任关系丢失时如何重新加入域

Question

我有许多虚拟机，它们使用 PowerShell 脚本应用了快照。有时，虚拟机会失去与域的“信任关系”。这会破坏脚本，因为我无法再使用 PowerShell 远程处理进入机器并配置它们。

如何远程重置这些虚拟机的信任关系？也许有可能重新加入不涉及远程处理的域？

手动重新加入域的任何替代解决方案都需要登录计算机并在本地执行此操作。我还没有找到任何可以做到这一点的东西。

到目前为止，我已经尝试将一个脚本放在一起，该脚本以本地管理员身份简单地远程进入框：

$password = ConvertTo-SecureString "password" -AsPlainText -Force
$cred= New-Object System.Management.Automation.PSCredential ("Administrator", $password)
$sesh = new-pssession -computername "theMachine" -credential $cred

在这一点上，我希望使用 PowerShell 来重置密码或类似的东西来重置域信任关系。但是，这会导致最后一行出现错误：Access is Denied。

我认为您不能在 PowerShell 远程处理中使用本地管理员帐户。有没有其他方法可以远程让失去域信任关系的虚拟机重新加入域？

Answer 1

发生这种情况是因为加入域的计算机每 30 天自动更改其计算机帐户密码。客户端启动自己的密码更改并将其存储在 Active Directory 中。当您从上次计算机帐户密码更改之前的时间恢复快照时，存储在 AD 中的密码不再与计算机尝试用于登录域的密码匹配。

要在客户端计算机上禁用机器帐户密码更改：

1. Start Registry Editor.
2. Locate and then click the following registry subkey:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters

3. In the right pane, click the DisablePasswordChange entry.
4. On the Edit menu, click Modify.
5. In the Value data box, type a value of 1, and then click OK.

还，

我认为您不能在 PowerShell 远程处理中使用本地管理员帐户

是的你可以。你就是不能使用 Kerberos。由于没有 Kerberos 就没有相互身份验证，因此您需要将远程计算机添加到受信任主机列表中，以便能够使用 Powershell Remoting 访问它。