Новый компьютер под управлением домена. Как ввести компьютер в домен разными вариантами? Распространённые ошибки kinit

Всем известно, после установки операционной системы, компьютер изначально включен в рабочую группу (по умолчанию в WORKGROUP). В рабочей группе каждый компьютер это независимая автономная система в которой существует база данных диспетчера безопасности учетных записей SAM (Security Accounts Manager). При входе человека на компьютер выполняется проверка наличия учетной записи в SAM и в соответствии с этими записями даются определенные права. Компьютер который введен в домен продолжает поддерживать свою базу данных SAM, но если пользователь заходит под доменной учетной записью то о проходит проверку на уже на контроллер домена, т.е. компьютер доверяет контроллеру домена идентификацию пользователя.

Ввести компьютер в домен можно различными способами, но перед тем как это делать вы должны убедиться, что данный компьютер соответствует следующим требованиям:

У вас есть право на присоединение компьютера к домену (по умолчанию это право имеют Администраторы предприятия (Enterperise Admins), Администраторы домена (Domain Admins), Администраторы (Administrators), Операторы Учета (Account Admins));

Объект компьютера создан в домене;

Вы должны войти в присоединяемый компьютер как локальный администратор.

У многих администраторов второй пункт может вызвать негодование, - зачем создавать компьютер в AD, если он появиться в контейнере Computers после ввода компьютера в домен. Все дело в том, что в контейнере Computers нельзя создать подразделения, но еще хуже, что к контейнеру нельзя привязать объекты групповой политики. Именно поэтому рекомендуется создать объект компьютер в необходимом подразделении, а не довольствоваться автоматически созданной учетной записью компьютера. Конечно можно переместить автоматически созданный компьютер в необходимое подразделение, но зачастую подобные вещи администраторы забывают делать.

Теперь разберем способы создания компьютера (компьютеров) в AD:

Создание компьютеров при помощи оснастки «Active Directory – пользователи и компьютеры».

Для этого способа нам понадобится запустить оснастку «Active Directory – пользователи и компьютеры», у себя на компьютере с помощью Admin Pack или на контроллере домена. Для этого необходимо нажать "Пуск- Панель управления- Система и безопасность- Администрирование- " выберите необходимое подразделение, нажмите на нем правой кнопкой мыши, в контекстном меню выберите "Создать- Компьютер ".

Впишите имя компьютера.

Создание учетной записи компьютера с помощью команды DSADD.

Общий вид команды:

dsadd computer [-desc <описание>] [-loc <расположение>] [-memberof <группа...>] [{-s <сервер> | -d <домен>}] [-u <пользователь>] [-p {<пароль> | *}] [-q] [{-uc | -uco | -uci}]

Параметры:

Значение Описание
Обязательный параметр. Задает различающееся имя (DN) добавляемого компьютера.
-desc <описание> Задает описание компьютера.
-loc <размещение> Задает размещение компьютера.
-memberof <группа...> Добавляет компьютер в одну или несколько групп, определяемых разделяемым пробелами списком имен DN <группа...>.
{-s <сервер> | -d <домен>}
-s <сервер> задает подключение к контроллеру домена(DC) с именем <сервер>.
-d <домен> задает подключение к DC в домене <домен>.
По умолчанию: DC в домене входа.
-u <пользователь> Подключение под именем <пользователь>. По умолчанию: имя пользователя, вошедшего в систему. Возможные варианты: имя пользователя, домен\имя пользователя, основное имя пользователя (UPN).
-p {<пароль> | *} Пароль пользователя <пользователь>. Если введена *, будет запрошен пароль.
-q "Тихий" режим: весь вывод заменяется стандартным выводом.
{-uc | -uco | -uci}

-uc Задает форматирование ввода из канала или вывода в канал в Юникоде.
-uco Задает форматирование вывода в канал или файл в Юникоде.
-uci Задает форматирование ввода из канала или файла в Юникоде.

Пример использования команды Dsadd:

Dsadd computer “CN=COMP001,OU=Moscow,OU=Departments,DC=pk-help,DC=com” –desc “Компьютер отдела IT”

Создание учетной записи рабочей станции или сервера с помощью команды Netdom.

Общий вид команды Netdom:

NETDOM ADD <компьютер> ]
<компьютер> это имя добавляемого компьютера
/Domain указывает домен, в котором требуется создать учетную запись компьютера
/UserD учетная запись пользователя, используемая при подключении к домену, заданному аргументом /Domain
/PasswordD пароль учетной записи пользователя, заданной аргументом /UserD. Знак * означает приглашение на ввод пароля
/Server имя контроллера домена, используемого для добавления. Этот параметр нельзя использовать одновременно с параметром /OU.
/OU подразделение, в котором необходимо создать учетную запись компьютера. Требуется полное различающееся доменное имя RFC 1779 для подразделения. При использовании этого аргумента необходимо работать непосредственно на контроллере указанного домена. Если этот аргумент не задан, учетная запись будет создана в подразделении по умолчанию для объектов компьютеров этого домена.
/DC указывает, что требуется создать учетную запись компьютера контроллера домена. Этот параметр нельзя использовать одновременно с параметром /OU.
/SecurePasswordPrompt Использовать для указания учетных данных безопасное всплывающее окно. Этот параметр следует использовать при необходимости указания учетных данных смарт-карты. Этот параметр действует только в случае задания пароля в виде *.

Создание объекта Компьютер с помощью Ldifde () и Csvde ().

Администрирование учетной записи компьютеров в Active Directory.

Переименование компьютера в AD.

Запускаем командную строку и с помощью команды Netdom переименовываем компьютер в AD:

Netdom renamecomputer <Имя компьютера> /Newname: <Новое имя>

Пример: Netdom renamecomputer COMP01 /Newname: COMP02

Удаление учетных записей компьютера.

1 Удалить учетную запись компьютера с помощью оснастки "Active Directory – пользователи и компьютеры ". Запускаете оснастку "Active Directory – пользователи и компьютеры " находите необходимый компьютер нажимаете не нем правой кнопкой мыши, в контекстном меню выбираете "Удалить ", подтверждаете удаление

2 Удалить компьютер можно с помощью команды DSRM:

DSRM

DSRM CN=COMP001,OU=Moscow,OU=Departments,DC=pk-help,DC=com
.

Устранение ошибки "Не удалось установить доверительных отношений между этой рабочей станцией и основным доменом".

Иногда при попыдке войти в компьютер пользователь получает сообщение "Не удалось установить доверительных отношений между этой рабочей станцией и основным доменом ". Это ошибка возникает при отказе в работе безопасного канала между машиной и контроллером домена. Что бы это устранить необходимо сбросить безопасный канал. Можно воспользоваться одним из методов:

1 Зайти оснастку «Active Directory – пользователи и компьютеры», найти проблемный компьтер, нажать на нем правой кнопкой мыши и выбрать "Переустановить учетную запись" (Reset Account). После этого компьютер следует заново присоединить к домену и перезагрузить.

2 С помощью команды Netdom :

Netdom reset <имя машины> /domain <Имя домена> /User0 <Имя пользователя> /Password0 <Пароль> без кавычек <>

Пример: Netdom reset COMP01 /domain сайт /User0 Ivanov /Password *****

3 С помощью команды Nltest :

Nltest /server:<Имя компьютера> /sc_reset:<Домен>\<Контроллер домена>

Автономный ввод в домен

Автономный ввод в домен или Offline domain join — довольно интересная функция, появившаяся в Windows 7 и Windows Server 2008 R2. Она позволяет присоединять компьютеры к домену Active Directory в автономном режиме, без необходимости устанавливать соединение с контроллером домена.

Для использования Оffline domain join нет необходимости изменять режим работы домена или леса. Можно обойтись даже без контроллера домена Windows Server 2008 R2. Для автономного ввода в домен нужна только утилита djoin.exe , которая входит в состав Windows 7 и Server 2008 R2. Другими словами, достаточно одного компьютера под управлением Windows 7/2008 R2, работающего в нужном домене.

Автономный ввод в домен производится в несколько этапов. Первый этап — создание файла с данными учетной записи для присоединяемого компьютера. Для этого на любом сервере Windows 2008 R2 (или рабочей станции Windows 7) в целевом домене надо в командной консоли выполнить команду , которая создает учетную запись компьютера в домене. Команда имеет следующие параметры:

• /domain — имя целевого домена;
• /machine — имя машины, присоединяемой к домену;
• /machineou — подразделение, в которое надо поместить машину. Если не указать, то машина будет помещена в контейнер по умолчанию Computers;
• /dcname — имя определенного контроллера домена, который создаст учетную запись компьютера. Если не указать, то контроллер выбирается автоматически;
• /savefile — файл, в который сохраняются данные присоединяемого компьютера;
• /reuse — использовать существующую учетную запись компьютера;
• /downlevel — поддержка контроллера домена с версией до Windows Server 2008 R2.

Для примера создадим в домене Contoso.com машину с именем WKS1, поместим ее в подразделение Offline_Join и сохраним данные в файл wks1.txt:

djoin /provision /domain Contoso.com /machine WKS1 /machineOU
″OU=Offline_Join,DC=Contoso,DC=com″ /savefile c:\test\wks1.txt

Следующим этапом необходимо полученный файл переправить на компьютер, который должен быть автономно добавлен в домен. Сделать это можно любым доступным способом, например выслать по e-mail или выложить на ftp. При этом стоит иметь ввиду, что в файле в двоичном виде содержится пароль учетной записи компьютера и другие сведения о домене, в том числе имя домена, имя контроллера домена, идентификатор безопасности домена и т. д. Поэтому передача должна выполняться с соблюдением безопасности.

Последний этап автономного ввода в домен заключается в добавлении метаданных учетной записи компьютера из файла в каталог Windows. Для этого надо зайти на нужный компьютер и в командной строке с повышенными привилегиями выполнить команду которая создаст запрос автономного присоединения к домену при следующем запуске. Команда использует следующие параметры:

• /loadfile — добавляет метаданные учетной записи компьютера в каталог Windows;
• /localos — указывает установку локальной операционной системы (не файла образа);
• /windowspath — путь к папке с образом Windows. При использовании параметра /localos надо указать переменную окружения %systemroot% или %windir% .

Примечание. Утилита djoin может работать как с физическими, так и с виртуальными машинами. При работе с виртуальными машинами ключ /windowspath указывает на расположение VHD-файла с установленной системой.

Добавим нашу рабочую станцию WKS1 в домен командой:

djoin /requestODJ /loadfile c:\test\wks1.txt /windowspath %systemroot% /localos

Теперь осталось только перезагрузить машину, и при наличии доступного контроллера вы сможете зайти в домен.

И в заключение скажу, что в статье описан только один из нескольких вариантов использования djoin.exe. Если вас заинтересовала данная тема, то более подробную информацию можно найти вот .

Домены значительно облегчают работу пользователей, позволяя всего один раз войти в систему и забыть обо всех паролях к различным устройствам и файлам в большой локальной сети.

Для этого нужно:
1.права администратора;
2.локальная сеть с доменом Windows;
3.учетная запись пользователя в домене;
4.имя домена.

1. Включить компьютер в домен Windows можно на вкладке «Имя компьютера» в окне «Свойства системы». Чтобы открыть окно «Свойства системы» в операционной системе Windows XP, с помощью меню «Пуск» откройте «Панель управления» и щелкните по пункту «Система». Если на вашем компьютере установлена операционная система Windows 7 или Vista, откройте «Панель управления» и перейдите в категорию «Система и безопасность», в которой щелкните по пункту «Система». На открывшейся странице кликните по ссылке «Дополнительные параметры системы», расположенной в левой боковой колонке.
2. В открывшемся окне «Свойства системы» выберите вкладку «Имя компьютера». Нажмите кнопку «Изменить» и в открывшемся окне введите имя домена, в который вы хотите включить компьютер. Далее кликните по кнопке OK. В появившемся окне введите имя пользователя домена и его пароль. После этого нажмите кнопку OK и перезагрузите компьютер. Ваш компьютер включен в домен.
3. Кроме графического интерфейса можно включить компьютер в домен с помощью командной строки. В состав операционной системы Windows XP включена утилита NETDOM, которая может добавить компьютер в домен с помощью команды:

Где computer_name, domain_name и user_name нужно соответственно заменить именами добавляемого компьютера, домена и пользователя, а user_pass поменять на пароль пользователя в домене.

В Windows 7 утилита NETDOM была заменена командой в PowerShell – add-computer. Чтобы включить компьютер в домен из консоли в Window 7, выполните следующую команду:

add-computer -DomainName domain_name -credential domain_name\user_name

Где domain_name и user_name также замените именами домена и пользователя.

Домен Windows не предназначен для домашнего использования, он очень удобен в корпоративных сетях с большим количеством пользователей, имеющих разный уровень доступа к файлам и устройствам. Поэтому компьютеры, работающие под управлением операционных систем для домашнего использования, то есть ниже уровня Professional, не имеют инструментов включения в домен. Для добавления таких компьютеров сначала переустановите систему.

Существует более быстрый способ запустить окно «Свойства системы». Если у вас операционная система Windows XP, щелкните правой кнопкой мыши по значку «Мой компьютер» и в раскрывшемся меню кликните по пункту «Свойства системы». Если у вас операционная система Windows 7 или Vista, сделайте клик правой кнопкой по значку «Компьютер», выберите пункт «Свойства системы» и щелкните по пункту «Дополнительные параметры системы».

При включении компьютера в домен на той же вкладке «Имя компьютера» вы можете задать описание вашего компьютера, которое будет подсказкой для пользователей домена.

Вопрос подключения компьютера к домену обычно возникает у системных администраторов, которым нужно создать локальную сеть. Доменная система означает, что все компьютеры в сети используют настройки основного ПК. Давайте попробуем разобраться, как подключить к домену компьютер с операционной системой Windows 7. Для других ОС подключение не слишком отличается.

Какие преимущества дает доменная структура? С ее помощью можно использовать, например, групповые политики и централизированное управление. Это позволяет наладить эффективную работу.

Важные требования

Перед тем, как вводить компьютер на виндовс 7 в домен, необходимо проверить, удовлетворяет ли ПК ряду требований, все ли настройки выполнены. Их довольно много, хотя большинство из них уже должны быть произведены. Проверьте следующее:

• Должна использоваться виндовс 7 следующих версий: Professional, Ultimate или Enterprise. Только эти версии можно подключать к домену;
• Должна присутствовать сетевая карта. Но это самой собой разумеющееся;
• Должно быть выполнено подключение по локальной сети. В большинстве случаев, хотя можно подключить виндовс 7 к Windows Server 2008 R2 в оффлайн режиме, но это отдельная тема;
• Должен быть указан правильный IP адрес. Его можно настроить вручную, получить от DHCP-сервера или это может быть APIPA-address (его значения начинаются с 169.254.X.Z);
• Нужно убедиться, что котроллеры (хотя бы один) доступен для подключения;
• Также проверьте соединение контроллера (например, его можно пропинговать, то есть проверить, какое качество соединения);
• DNS сервер должен быть правильно настроен. Это важно, если он настроен некорректно, могут возникнуть проблемы при подключении к домену. Даже если подключение выполнится успешно, сбои возможны потом;
• DNS сервера должны быть доступны. Для этого нужно проверить подключение при помощи программы PING;
• Посмотрите ваши права в локальной системе. Должны присутствовать права локального администратора компьютера;
• Нужно знать название доменного имени, имя администратора и пароль.

Подключение ПК к домену

Ввести компьютер в домен можно двумя способами. Давайте рассмотрим их более подробно.

Первый метод

Это стандартный способ подключения ПК к домену. Выполните следующие шаги:

• Нажмите значок «Пуск», щелкните правой клавишей мышки по ярлыку «Компьютер», выберите «Свойства»;
• В пункте “Имя компьютера, домен и рабочие настройки» нажмите «изменить настройки»;
• Откройте вкладку «Имя компьютера» и нажмите «Изменить»;
• В разделе «Часть (чего-то)» выберите «Домен»;
• Введите имя домена, к которому выполняется подключение, нажмите «OK»;
• Введите имя еще раз, и пароль.

Затем выполните перезагрузку компьютера. После этого ПК будет подключен к домену в локальной сети.

Второй метод

Необходимо использовать приложение NETDOM. Чтобы подключить домен, в командной строке нужно ввести всего одну команду:

При этом:

• Параметры «DOMAIN.COM» и «DOMAIN» нужно заменить на имя домена. Также нужно указать логин и пароль;
• Дополнительная «d» в «user» и «password» не являются опечаткой;
• В виндовс 7 NETDOM уже есть в операционной системе. В версиях виндовс 2000, XP и 2003 нужно установить Support Tools.

Чтобы завершить подключение, перезагрузите ПК.

Что делать, если домен «выпал»?

Это происходит уже после подключения ПК к домену. Компьютер его просто не «видит». Вы это сразу заметите, потому как не сможете авторизоваться. Сделайте следующее:

• Авторизуйтесь как локальный администратор;
• Перейдите в свойства системы и в пункте «Имя компьютера» отметьте, что ПК – часть рабочей группы;
• Перезагрузите компьютер;
• Затем снова подключите ПК к домену, как было описано выше;
• Выполните перезагрузку.

Теперь компьютер должен подключиться к домену.

Помещение компьютера в определенный контейнер

Недостаток описанных методов подключения к домену – ПК размещается в стандартном контейнере, обычно в папке «Компьютер». И чтобы переместить в другое место, необходим администратор. Но можно расположить компьютер сразу в нужном контейнере. Для этого есть два варианта.

Метод номер 1

Для этого сначала создается пустая учетная запись, куда и размещается компьютер (нужно, чтобы у вас были права на создание объекта). В консоле ADUC новая учетная запись создается с тем же именем, которое будет использоваться для подключения к домену. Затем используйте метод соединения, описанный выше. Система увидит учетную запись, которая уже существует в домене, но просто не сопоставлена с ним. После сопоставления компьютер поместится в нужном контейнере.

Метод номер 2

Можно использовать команду Powershell:

• Войдите в систему с правами администратора;
• В командной строке введите «powershell» (затем вместо нее можно будет использовать PoSh);
• Команда для включения ПК в домен corp.company.ru из под учетной записи corpcompany_admin, создающая учетную запись в контейнере corp.company.ru/ Admin /Computers, где company – название компьютера, будет выглядеть так:

  add-computer -DomainName corp.company.ru -credential corp company_admin –OUPath "OU=Computers,OU=Admin,dc=corp,dc=company,DC=ru";

• Откроется новое окно, в котором введите пароль пользователя company_admin;
• Затем появится окно «WARNING: The changes will take effect after you restart the computer pcwin8» (pcwin8 означает операционную систему). Перезагрузите компьютер.

Теперь ПК будет расположен в нужном контейнере, там, куда ссылается домен.

Для корректного подключения ПК к домену выполнять его лучше администратору, который создал данную локальную сеть. Он знает обо всех подводных камнях в этом домене, и поэтому сможет быстро выполнить подключение. Если вы решили соединить компьютер с доменом самостоятельно, то в случае какой-либо проблемы оставьте ПК в таком состоянии, пока специалист не выполнит коррекцию.