رفع خطای Trust Relationship در کامپیوتر عضو دامین

پیام شناخته‌شدهٔ این سناریو The trust relationship between this workstation and the primary domain failed است. دستگاه قبلاً عضو دامین بوده و اکنون ارتباط مورداعتمادش با دامین درست اعتبارسنجی نمی‌شود. اگر هنوز Join انجام نشده، از آموزش اتصال کامپیوتر به دامین شروع کنید.

مبنای این راهنما Windows 11 Pro عضو ad.example.com و کنترلر سالم DC1.ad.example.com با Windows Server 2025 است. فرمان‌های این مثال روی خود کلاینت و در Windows PowerShell 5.1 اجرا می‌شوند. این روش برای Domain Controller، اعتماد بین دو Forest یا دستگاه صرفاً متصل به Entra ID نیست؛ Test-ComputerSecureChannel روی DC می‌تواند نتیجهٔ گمراه‌کننده بدهد.

حساب کامپیوتر رمز جداگانه‌ای برای رابطهٔ امن با دامین دارد. بازگردانی نسخهٔ قدیمی ماشین، تغییر یا حذف حساب آن، نام تکراری و مشکل همانندسازی یا بازیابی DC می‌توانند در بروز یا بازگشت مشکل نقش داشته باشند. رمز کاربر را بدون شاهد مربوط به همان حساب تغییر ندهید و صرف مدتی آفلاین بودن دستگاه را علت قطعی فرض نکنید.

اگر کاربر عادی هستید، متن خطا و زمان شروع آن را به مدیر شبکه بدهید و پروفایل را حذف نکنید. مدیر باید با یک حساب محلی مجاز و دارای دسترسی Administrator وارد دستگاه شود؛ قالب نام می‌تواند .\LocalAdmin باشد، اما LocalAdmin فقط جای نام واقعی حساب موجود در این مثال است.

اگر دسترسی محلی مجاز ندارید، مسیر بازیابی سازمان را دنبال کنید؛ این راهنما روش دورزدن ورود نیست. پیش از Repair و Restart، فایل‌های باز را ذخیره کنید، وضعیت پشتیبان دادهٔ کاربر را بررسی کنید و در کار از راه دور، دسترسی کنسول یا مسیر جایگزین داشته باشید. اعتبارنامهٔ دامین برای ترمیم باید مجوز لازم روی حساب همین کامپیوتر را داشته باشد.

ipconfig /all
Resolve-DnsName -Name _ldap._tcp.dc._msdcs.ad.example.com -Type SRV -DnsOnly -NoHostsFile
Resolve-DnsName -Name DC1.ad.example.com -Type A -DnsOnly -NoHostsFile

در مثال، DNS کلاینت باید به DNS داخلی درست برسد، SRV کنترلر معتبر معرفی کند و DC1 به IP برابر 192.168.50.10 حل شود. سلامت پاسخ DNS همهٔ پورت‌ها و احراز هویت را ثابت نمی‌کند؛ مسیر شبکه، قواعد فایروال و ساعت واقعی دستگاه نیز باید بررسی شوند. تا زمانی که DC در دسترس نیست، خطای تست را دلیل بازنشانی رمز کامپیوتر قرار ندهید.

از ابزار مدیریت دامین، وجود و فعال بودن Computer Object با نام همین دستگاه را کنترل کنید. اگر حساب به دلیل مشخصی غیرفعال شده، آن را بدون بررسی علت دوباره فعال نکنید. بپرسید فقط یک دستگاه مشکل دارد یا چند دستگاه هم‌زمان؛ خرابی گسترده ابتدا بررسی DNS، DC و همانندسازی را می‌طلبد.

در Event Viewer کلاینت، گزارش System و رویدادهای NETLOGON را در زمان خطا ببینید. رویدادی مانند 3210 سرنخ اعتبارسنجی ناموفق است، نه اثبات مستقل یک علت. زمان آخرین Restore، تغییر نام، تغییر حساب کامپیوتر یا تغییر DC را نیز کنار خطا ثبت کنید.

روی همان کلاینت، Windows PowerShell را با Run as administrator باز کنید. در این مثال DC1 کنترلر سالم و در دسترس است؛ نام آن را فقط با کنترلر واقعی و بررسی‌شدهٔ محیط خود جایگزین کنید.

Test-ComputerSecureChannel -Server "DC1.ad.example.com" -Verbose

این‌ها معیار تفسیر فرمان‌اند و خروجی آزمایش‌شدهٔ نت‌مسترز نیستند. اگر True دارید ولی ورود کاربر رد می‌شود، حساب و محدودیت‌های ورود همان کاربر را بررسی کنید؛ Repair تکراری پاسخ پیش‌فرض نیست.

وقتی DNS و ارتباط سالم‌اند، حساب درست دستگاه مشخص است و آزمون کانال امن شکست می‌خورد، مدیر مجاز می‌تواند فرمان زیر را روی همان کلاینت اجرا کند. پنجرهٔ اعتبارنامه را با حساب دامین دارای مجوز ترمیم پر کنید؛ این حساب لازم نیست حساب روزمرهٔ کاربر باشد و رمز آن را در متن فرمان ننویسید.

Test-ComputerSecureChannel -Repair -Server "DC1.ad.example.com" -Credential (Get-Credential) -Verbose

اگر فرمان خطا داد یا نتیجهٔ موفق نگرفتید، پیام دقیق را نگه دارید و به بررسی علت برگردید؛ چند فرمان Reset مختلف را پشت‌سرهم اجرا نکنید. پس از ترمیم موفق، با ذخیرهٔ کارهای باز و در زمان هماهنگ‌شده کلاینت را Restart کنید. تا تأیید ورود دامین، مسیر ورود محلی مجاز را حفظ کنید.

پس از راه‌اندازی، آزمون خواندنی بخش قبل را تکرار کنید و با اتصال برقرار به دامین، ورود عادی کاربر را بسنجید. همان پروفایل و دادهٔ موردانتظار، دسترسی مجاز به منبع و سیاست‌های مرتبط را بررسی کنید. True شدن تست به‌تنهایی جای این پذیرش کاربری را نمی‌گیرد.

اگر نیاز به بررسی DC پیش آمد، از روش مخصوص کنترلر دامین استفاده می‌شود؛ فرمان تعمیر کلاینت را روی DC تعمیم ندهید. دامنهٔ این مقاله یک عضو دامین است، نه بازیابی Forest.

ترمیم کانال امن برای اصلاح رابطهٔ دستگاه با دامین است و مستلزم حذف پروفایل کاربر نیست. بااین‌حال وضعیت داده، حساب و پروفایل باید بعد از کار کنترل شود؛ وعدهٔ بازیابی خودکار همه‌چیز نمی‌توان داد. اگر ورود تازه پروفایل متفاوت یا موقت نشان داد، پیش از کپی یا حذف، هویت واردشده و محل دادهٔ اصلی را بررسی کنید.

Unjoin و Join دوباره ممکن است در یک سناریوی بررسی‌شده لازم شود، اما پیش از آن دسترسی محلی، پشتیبان، برنامه‌های وابسته و مسیر بازگشت باید روشن باشد. برای «برگشت» از Repair نیز Snapshot قدیمی کلاینت را بی‌برنامه Restore نکنید؛ همان نسخهٔ قدیمی می‌تواند رمز ماشین را دوباره ناهماهنگ کند.

در تحویل کار، نام دستگاه و DC، زمان خطا، تغییرات اخیر، نتیجهٔ آزمون قبل و بعد و وضعیت ورود کاربر را ثبت کنید. اگر کانال امن سالم است و فقط پوشه باز نمی‌شود، عیب‌یابی دسترسی پوشهٔ اشتراکی را ادامه دهید.