Nie działa przypisanie konta do domeny

Niedziałające przypisanie konta do domeny wskazuje na brak łączności z kontrolerem domeny lub niepoprawną nazwę DNS domeny.

Na czym polega przypisanie konta do domeny

Przypisanie konta do domeny jest związane z dołączeniem komputera do środowiska domenowego, najczęściej opartego na usłudze Active Directory Domain Services w systemie Windows. W praktyce komputer otrzymuje relację zaufania do domeny, a użytkownik może logować się przy użyciu konta przechowywanego centralnie. Nie jest to wyłącznie zapis nazwy domeny w ustawieniach systemu. Proces obejmuje odnalezienie kontrolera domeny, uzyskanie odpowiedzi DNS, uwierzytelnienie uprawnionego konta oraz utworzenie lub aktualizację obiektu komputera w katalogu.

Jeżeli operacja kończy się komunikatem o braku możliwości przypisania konta do domeny, przyczyna może leżeć zarówno po stronie komputera, jak i infrastruktury domenowej. Typowe źródła problemu to nieprawidłowy adres serwera DNS, błędna nazwa domeny, niedostępny kontroler domeny, brak uprawnień do wykonania operacji albo niezgodność czasu systemowego. Sam dostęp do Internetu nie potwierdza poprawnej komunikacji z domeną, ponieważ komputer musi odnaleźć konkretne usługi katalogowe w sieci lokalnej lub firmowej.

DNS i odnajdywanie kontrolera domeny

Kontroler domeny jest wyszukiwany za pomocą rekordów DNS, w szczególności rekordów typu SRV, które wskazują usługi wymagane przez środowisko Active Directory. Dlatego komputer powinien korzystać z serwera DNS obsługującego strefę domenową, a nie wyłącznie z publicznego serwera DNS. Publiczny resolver może poprawnie rozwiązywać adresy stron internetowych, ale zwykle nie zna wewnętrznych rekordów SRV domeny. W takiej sytuacji nazwa domeny może wyglądać prawidłowo, lecz system nie znajdzie kontrolera odpowiedzialnego za logowanie i dołączenie urządzenia.

Podczas analizy sprawdza się, czy nazwa domeny jest wpisana jako właściwa nazwa domenowa, a nie jako nazwa grupy roboczej, adres strony internetowej lub skrót używany potocznie w firmie. W systemie Windows można zweryfikować rozwiązywanie nazw poleceniem nslookup, a także sprawdzić rekordy usługowe zapytaniem nslookup -type=SRV _ldap._tcp.dc._msdcs.nazwa-domeny. Wynik powinien wskazywać kontroler domeny. Brak odpowiedzi, odpowiedź z nieprawidłowego serwera albo wskazanie nieosiągalnego adresu wymaga korekty konfiguracji DNS lub sprawdzenia działania kontrolera.

Łączność, uprawnienia i synchronizacja czasu

Po odnalezieniu kontrolera domeny komputer musi nawiązać z nim komunikację przez usługi wykorzystywane przez Active Directory. Znaczenie mogą mieć między innymi protokoły DNS, Kerberos, LDAP, SMB oraz RPC. Blokada na zaporze sieciowej, izolacja urządzeń w sieci bezprzewodowej, nieprawidłowa trasa lub połączenie z niewłaściwą podsiecią mogą przerwać proces dołączania. Warto sprawdzić rozwiązywanie nazwy kontrolera, jego adres IP oraz dostępność wymaganych usług, zamiast ograniczać test do zwykłego polecenia ping.

Operacja wymaga także konta z uprawnieniami pozwalającymi dołączyć komputer do domeny. Błędne hasło, wygasłe poświadczenia, zablokowane konto albo próba wykorzystania konta lokalnego w miejscu konta domenowego mogą powodować odrzucenie żądania. Osobnym problemem jest czas systemowy. Kerberos wykorzystuje bilety uwierzytelniające zależne od zgodności czasu między komputerem a kontrolerem domeny. Znaczna różnica czasu może skutkować błędem uwierzytelniania nawet wtedy, gdy DNS i połączenie sieciowe działają poprawnie. Po zmianie konfiguracji należy ponownie uruchomić próbę dołączenia i sprawdzić dzienniki zdarzeń systemu Windows, zwłaszcza wpisy dotyczące Netlogon, DNS, Kerberos i funkcji GroupPolicy.

Postępowanie przy przywracaniu dołączenia do domeny

Bezpieczna diagnostyka powinna rozpocząć się od ustalenia, czy problem występuje tylko na jednym komputerze, czy również na innych urządzeniach korzystających z tej samej domeny. Jeżeli awaria dotyczy wielu komputerów, bardziej prawdopodobna jest niedostępność kontrolera, błąd DNS, problem z usługą katalogową albo zmiana konfiguracji sieci. Jeżeli nie działa tylko jeden komputer, należy sprawdzić jego adresację, serwery DNS, nazwę systemową, zaporę, czas oraz stan lokalnego profilu sieciowego.

W niektórych przypadkach obiekt komputera w katalogu może już istnieć, lecz jego hasło zabezpieczające nie odpowiada stanowi zapisanemu lokalnie. Wtedy samo ponowne wpisanie nazwy domeny może nie wystarczyć i konieczne jest uporządkowanie relacji zaufania zgodnie z uprawnieniami administratora domeny. Przed usunięciem lub ponownym utworzeniem obiektu trzeba ustalić, czy nie są z nim związane zasady grupy, przypisania użytkowników lub inne ustawienia organizacyjne. Diagnostyka i naprawa powinny obejmować zarówno konfigurację laptopa lub komputera PC, jak i odpowiedzi kontrolera domeny, ponieważ komunikat wyświetlany na stacji roboczej nie zawsze wskazuje rzeczywiste miejsce wystąpienia błędu.