Al iniciar sesión en un equipo añadido al dominio, nos podemos encontrar con el siguiente error:
En castellano:
"La relación de confianza entre esta estación de trabajo y el dominio principal falló"
En inglés:
"The trust relationship between this workstation and the primary domain failed"
El problema es grave, ya que no es posible iniciar sesión con ningún usuario del dominio.
¿Cómo solucionamos problema?
Si buscamos en el technet de Microsoft, veremos como solucionar el problema:
- Iniciar sesión como administrador local.
- Configurar el equipo en un WORKGROUP.
- Añadir de nuevo el equipo al dominio.
Aquí tenéis otro artículo que explica cómo añadir o quitar un equipo del dominio de Active Directory, utilizando PowerShell:
Windows: Añadir o quitar equipo del dominio con PowerShell (SYSADMIT.com)
Problema resuelto.
Windows: Añadir o quitar equipo del dominio con PowerShell (SYSADMIT.com)
Problema resuelto.
Pero...
¿Por qué ocurre?
En resumen, sucede por que el password de equipo almacenado en el DC (Controlador de dominio), no coincide con el password almacenado en el equipo.
En un entorno de Active Directory, el administrador de sistemas acostumbra a tener controlado la expiración de passwords de usuarios, pero no la de los equipos.
La renovación de los passwords de equipo es un proceso transparente para el usuario y el administrador, ambos no realizan ninguna acción.
Por defecto, el valor de renovación del password de equipo se produce cada 30 días desde Windows 2000.
Es el servicio NETLOGON el encargado de realizar el proceso.
Si el proceso es transparente y automático y nos aparece el error ... ¿Por qué ocurre?
Por que hemos retrocedido en el tiempo un equipo añadido al dominio más de 30 días utilizando alguna de estas técnicas:
- Para equipos físicos: Restore utilizando una imagen.
- Para equipos virtuales (VDI o servidores miembro virtuales): "Revert to snapshot" o "Restore de la VM" utilizando el software de backups.
¿Cómo evitamos el problema?
Con una GPO de equipo, podemos desactivar la expiración del password de equipo, para equipos añadidos al dominio:
Si el DC está en inglés:
Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Security Options
- Domain member: Disable machine account password changes
- Domain member: Maximum machine account password age
Si el DC está en castellano:
Configuración del equipo > Directivas > Configuración de Windows > Configuración de seguridad > Directivas locales > Opciones de seguridad
- Miembro de dominio: deshabilitar los cambios de contraseña de cuentas de equipo
- Miembro de dominio: duración máxima de contraseña de cuenta de equipo
El tratarse de una GPO de equipo que modifica la seguridad, debemos aplicarla a nivel de dominio.
En la ayuda de cada GPO, encontramos la siguiente información:
Miembro de dominio: deshabilitar los cambios de contraseña de cuentas de equipo
Determina si un miembro de dominio cambia periódicamente su contraseña de cuenta de equipo. Si esta configuración está habilitada, el miembro del dominio no intenta cambiar su contraseña de cuenta de equipo. Si está deshabilitada, el miembro de dominio intenta cambiar su contraseña de cuenta de equipo del modo especificado en la configuración de Miembro de dominio: duración máxima de contraseña de cuenta de equipo, cuyo valor predeterminado es de 30 días.
Valor predeterminado: deshabilitada.
Notas
Esta configuración de seguridad no debe habilitarse. Las contraseñas de cuenta de equipo se usan para establecer canales de comunicación seguros entre miembros y controladores de dominio y, dentro del dominio, entre los propios controladores de dominio. Una vez establecido, el canal seguro se usa para transmitir información confidencial necesaria para tomar decisiones de autenticación y autorización.
Esta configuración no debe usarse para intentar compatibilizar escenarios de arranque dual que usen la misma cuenta de equipo. Si desea realizar un arranque dual de dos instalaciones unidas al mismo dominio, asigne un nombre de equipo distinto a cada instalación.
Miembro de dominio: duración máxima de contraseña de cuenta de equipo
Esta configuración de seguridad determina la frecuencia con que un miembro del dominio intentará cambiar la contraseña de su cuenta de equipo.
Valor predeterminado: 30 días.
Importante
Esta configuración se aplica a equipos con Windows 2000, pero no está disponible a través de las herramientas del Administrador de configuración de seguridad en esos equipos.
Más información en:
- El libro: GPOIT - Group Policy Objects para administradores de IT, para el uso de las directivas de grupo.
- El libro: ADIT - Active Directory para administradores de IT, sobre los passwords de equipo y otras consideraciones acerca de Active Directory en entorno virtualizado como la prevención de "USN Rollback".
- Podemos ver el índice del contenido del libro en el menú del blog: "Índice y referencias libros"
EXCELENTE EXPLICACION ! NI Microsoft lo pudo descifrar ! Gracias.
ResponderEliminar¡Muchas gracias!
EliminarEstoy con la duda con respecto a la GPO es necesario habilitar ambas? o solo disable machine account password age, debo habilitar ambas?
ResponderEliminarEfectivamente, si habilitas "Disable machine account password changes", no es necesario cambiar la configuración de "Maximum machine account password age".
EliminarLa otra posibilidad es no habilitar "Disable machine account password changes" y configurar un valor de "Maximum machine account password age" muy alto.
Buenas tardes Amigo tengo este problema, pero trato de ingresar incluso como usuario administrador con la contraseña en cero y ni asi puedo...
ResponderEliminarHola Fernando,
EliminarGracias por participar en el blog.
Si haces login con una cuenta local (no de dominio), deberías de poder entrar.
En el nombre de usuario, deberías indicar que se trata de una cuenta local.
Por ejemplo, si el usuario se llama Administrador y el equipo C1, indica en el nombre de usuario C1\Administrador.
Si no conoces el nombre del equipo, puedes indicar .\Administrador.
¡Un saludo!
Xavi.
Excelente, tal cual, se saca y se ingresa al dominio nuevamente y funciona, pero mi duda es por qué pasa esto si la configuración está tal cual como la explicas y solo ha pasado con 2 equipos del dominio?
ResponderEliminarHola Cristian,
EliminarGracias por participar en el blog.
Las causas al problema, pueden ser muy variopintas.
Un par de ejemplos:
- Problemas en la sincronización de la hora entre cliente y controlador de dominio.
- Retroceder en el tiempo un equipo añadido al dominio desde una copia de seguridad.
Yo empezaría repasando el visor de eventos en busca de pistas que te puedan indicar la causa justo antes de que se que empezase el error.
¡Un saludo!
Xavi.
A mi me pasa algo parecido pero mas curioso. Sobre las 19h. el servidor deja de responder peticiones de la red. He comprobado y no hay ninguna tarea que pueda afectar a esto. Me paso con 4 maquinas que estaban en dominio. Las he tenido que acabar formateando para poder trabajar con normalidad. El tema es que tambien me pasa con una maquina que trabaja fuera de la oficina y se conecta por escritorio remoto.
ResponderEliminarAlguien sabe cual puede ser la causa? o que puedo mirar. Muchas gracias
Las causas pueden ser varias.
EliminarCuando te encuentres con el error, puedes repasar la fecha y hora del sistema, repasar si encuentras alguna pista en el visor de eventos (eventvwr.msc), algún software que retroceda en el tiempo el equipo, etc...
Un saludo,
Xavi.
Excelente aportación hermano. Un saludo!
ResponderEliminarGracias a ti Héctor. ¡Me alegro que te haya gustado!
EliminarUn saludo,
Xavi.
muy buena la explicación, mejor que la del admin de la empresa en la que trabajo que dice que es falla en el OS local o que el equipo permanece mucho tiempo sin conectarse a la red, pero sinceramente eso no me convenció mucho por que no es algo constante y no todos los equipos permanecen mucho tiempo sin estar en la red.
ResponderEliminarGracias Alain por tu comentario.
EliminarUn saludo,
Xavi.
Gracias, por la Info. Pero no me queda claro a qué te refieres con " contraseña de cuenta de equipo" es la contraseña que uso para agregar un equipo al dominio. O es la contraseña de un usuario? Gracias y saludos.
ResponderEliminarHola,
EliminarLa contraseña de la cuenta de equipo no es la contraseña que usas al añadir un equipo al dominio, ni tampoco es una contraseña de un usuario.
En Active Directory, los objetos del tipo usuario, ya sabes como funcionan: tienen una contraseña que o bien el usuario puede cambiar o bien el administrador desde las herramientas administrativas tipo usuarios y equipos de AD.
Los objetos del tipo equipo, también tienen una contraseña y esta es cambiada de forma automática, a diferencia de las contraseñas de usuarios, el administrador no establece la contraseña de equipo.
Un saludo,
Xavi.
buenas esa es la parte que no entiendo por cierto, excelente pagina.. te felicito.. tengo una problema. una pc de recursos humanos (bajo dominio)...tiene ese problema (La relación de confianza entre esta estación de trabajo y el dominio principal falló).. como entro en la cuenta como usuario local..? el usuario es maria y el nombre del equipo es RRHH
EliminarYo intento entrando para hacer el procedimiento aqui descrito como otro usuario: RRHH\maria y su respectiva contraseña y nada que entro..estoy haciendo algo mal?
porfavor y gracias
Hola,
EliminarCuando instalas Windows, asignas un nombre de usuario y una contraseña. Ese usuario y contraseña tiene derechos de administrador local. Después añades el equipo a un dominio de Active Directory y inicias sesión con un usuario y contraseña del dominio. Cuando aparece el error: ""La relación de confianza entre esta..." solo afecta a las cuentas de dominio, por tanto la cuenta de administrador local es accesible.
Si no te funciona es posible que el password o el nombre de usuario de la cuenta no sean correctos.
Un saludo,
Xavi.
Hi,
ResponderEliminarThank you for great effort..
I got same "trust relation ship error",
I noticed that it is happening after every 29 or 30 days.
Same time my system notification has coming to change password..
Event ID:5722 in Domain Controller
Can we identify is it same problem?
Thank you very much for your comment.
EliminarIndeed, it could be the same problem.
Anyway, check out Microsoft KB810977
In this KB, you will find information about the EventID: 5722
Greetings,
Xavi.
otra opcion ?
ResponderEliminarHola, gracias por la información, todo super claro y bien explicado.
ResponderEliminar¿Hay alguna forma de volver a entrar al equipo si no se tiene la clave local?
Gracias!. Saludos!
Sí, aquí tienes un método para realizar un reset del password de administrador del dominio:
Eliminarhttp://www.sysadmit.com/2016/01/windows-reset-password-administrador-dominio.html
Para un password de administrador local, puedes seguir el mismo método.
Solo en el paso final, deberás ejecutar (sin el /domain):
Net User Administrador *
En el caso de que la cuenta de administrador local esté deshabilitada, bastará con ejecutar el siguiente comando para activarla.
Net User Administrador /Active:yes
Un saludo,
Xavi.
Hola, genial la explicación, en mí caso se vuelve a producir el mismo problema (una vez que quitamos de dominio y la volvemos a ingresar con otro nombre) digamos que pasan unos días y el problema vuelve a aparecer, tendrías alguna idea de que porque pasa eso?
ResponderEliminarSaludos.
Igual tienes algún problema con la configuración de la hora, o bien "algo" que retrocede el estado de la máquina, etc...
EliminarPuedes investigar el visor de eventos a ver si encuentras alguna pista.
Un saludo,
Xavi.
Buenas tardes.
ResponderEliminarPasa lo siguiente
1. En los últimos días, 3 equipos han presentado el problema de, La relación de confianza entre esta estación de trabajo y el dominio principal, y lo que realizo son los paso de sacarlo del dominio al equipo y luego lo vuelvo a agregar.
Mi escenario es el siguiente:
1. tengo una policita de cambio de contraseña de administrador local la cual está por un script y se lo aplico a todos los equipos del dominio.
Mi pregunta es la siguiente:
¿Tengo que crear una nueva política para rehabilitar las dos opciones que usted explica y luego aplicarlas a todos los equipos del dominio?
¿Si aplico esta política ya no tendré el problema de la relación de confianza entre esta estación de trabajo y el dominio principal?
¿Esto no afectara la política del cambio de contraseña que yo he creado anteriormente?
Estas son las dos políticas que usted señala:
Miembro de dominio: deshabilitar los cambios de contraseña de cuentas de equipo
Miembro de dominio: duración máxima de contraseña de cuenta de equipo
Hola, gracias por participar en el blog.
EliminarEn respuesta a las preguntas que planteas:
En primer lugar te aconsejaría que descubras el motivo de por que obtienes el error: "La relación de confianza..."
Una vez descubras a que es debido, si puedes corregir el problema, listo.
En caso contrario, puedes utilizar la GPO indicada en el post, pero es importante determinar el motivo.
Sobre la GPO, al tratarse de establecer una configuración relacionada con las opciones de seguridad tiene que ir vinculada a nivel de dominio, si la vinculas a nivel de unidad organizativa, no tendrá efecto.
La GPO que indica el post, no interfiere con la GPO relacionada con el cambio de contraseña de un usuario.
La GPO del post se refiere a modificar la caducidad de la contraseña de equipo, no de usuario.
Un saludo,
Xavi.
Tenemos el mismo problema con equipos con todos los equipos Windows 7 "La relación de confianza entre esta estación de trabajo y el dominio principal falló" (los equipos windows xp no presentan esta falla) nuestro servidor de dominio esta en SAMBA.
ResponderEliminarSe puede implementar esta configuración teniendo como servidor SAMBA de todas formas?
Hola,
EliminarSi no dispones de un controlador de dominio (DC) de Active Directory, no podrás aplicar esta GPO de equipo.
Igualmente, si te aparece el error de: "La relación de...", puede ser debido a la configuración de hora.
Un saludo,
Xavi.
Hola muy buenos dias, primero que nada felicitarte por el excelente material, quedo todo muy bien explicado. Tengo una consulta, existe algun comando que pueda ejecutar para verificar que efectivamente la cuenta del equipo expiro y por esta razón esta dando el problema de relación de confianza.
ResponderEliminarHola Raúl,
EliminarGracias por tus palabras.
Puedes probar de ejecutar el código que te indico a continuación desde el controlador de dominio (DC) y verificar si en un equipo donde aparece el error de "La relación de..." tiene la contraseña de equipo caducada.
Recuerda:
- Ejecutar el script desde una sesión de PowerShell desde el controlador de dominio (DC).
- Cambia el DistinguishedName indicado en el código por el tuyo donde se ubican los equipos. En el ejemplo: "OU=EQUIPOS,DC=SYSADMIT,DC=local"
Import-Module ActiveDirectory
$fecha = [DateTime]::Today.AddDays(-90)
Get-ADComputer -Filter 'PasswordLastSet -le $fecha' -SearchBase "OU=EQUIPOS,DC=SYSADMIT,DC=local" -properties PasswordLastSet
Un saludo,
Xavi.
Hola cree una imagen con el programa nlite que sirve para hacer window desatendidos con un iso de 8.1 en el programa lo añadi a mi dominio del trabajo pero al reinstalarlo con una maquina virtualq ue tengo creada por el hyper-V en windows 10 pero cuando la añado me da error de confianza quier saber de alguna posibilidad que me lo haga automatico
ResponderEliminarHola,
EliminarTodos los procesos que indicas deberías realizarlos sin estar la máquina estar añadida al dominio.
Como paso final, puedes automatizar la entrada de un equipo al dominio utilizando PowerShell:
https://www.sysadmit.com/2018/01/windows-anadir-quitar-equipo-del-dominio-PowerShell.html
¡Un saludo!
Xavi.
Hay alguna manera de desactivar la expiración para una rama de dominio, es decir para los equipos de una rama de dominio?
ResponderEliminarHola,
EliminarNo, desgraciadamente como la GPO está dentro del bloque de seguridad tiene que vincularse a nivel de dominio para que tenga efecto.
Un saludo,
Xavi.