Novo Controlador de Domínio 2012 e erro “O banco de dados de segurança no servidor não possui uma conta de computador para essa relação de confiança da estação de trabalho”

Question

Eu tenho um controlador de domínio do Windows Server 2012 em um domínio DOM1 executado em um domínio e nível funcional do Windows Server 2008 R2. Todos os outros controladores de domínio no DOM1 são 2008 R2. O DOM1 tem uma confiança bidirecional não transitiva com outro domínio DOM2 em execução em uma floresta e no nível funcional do Windows Server 2003.

Existe uma máquina com Windows 7 no DOM1 que está na mesma LAN que o controlador de domínio. Quando um usuário com uma conta no DOM2 tenta efetuar login nessa máquina, recebe o erro:

O banco de dados de segurança no servidor não tem uma conta de computador para essa relação de confiança da estação de trabalho.

Quando eu desligo o controlador de domínio de 2012, o erro não aparece e o usuário pode efetuar login. Quando ligo novamente a controladora, o usuário recebe o erro.

Ontem liguei o controlador de domínio, desconectei o Windows 7 do DOM1 e juntei-o novamente. O usuário foi capaz de efetuar login. Hoje, no entanto, o usuário mais uma vez recebeu o erro. Eu desliguei o DC e o usuário fez o login.

Percebi que, depois de reingressar a máquina com Windows 7 ao domínio, a conta do computador aparece no AD como desativada.

Alguns outros computadores no mesmo local também recebem o erro, no entanto, a maioria não o faz.

Aqui estão minhas perguntas:

Why does the error occur only when the 2012 DC is on?
How is the user able to log into the Windows 7 machine even if the computer account is disabled?

    

Answer 1

Why does the error occur only when the 2012 DC is on?

Porque o computador está se conectando ao Controlador de Domínio do Windows 2012, que não possui um registro dele. Isso aponta para um problema de sincronização do Active Directory entre esse controlador de domínio e o restante de seus controladores de domínio.

How is the user able to log into the Windows 7 machine even if the computer account is disabled?

Credenciais possivelmente em cache, permitindo que o usuário ignore a verificação de domínio ou, possivelmente, a conta não esteja desabilitada no controlador de domínio em que o computador está verificando.

De qualquer forma, você quer corrigir o seu domínio não sincronizado o mais rápido possível - só vai ficar pior e mais difícil lidar com o tempo que isso vai durar.

    

Answer 2

Como o usuário é capaz de fazer login na máquina com Windows 7 mesmo que a conta do computador esteja desativada?

Para esta parte, tente desconectar o cabo LAN físico do seu computador e tente fazer login novamente com as credenciais usuais. No entanto, a senha do cache ainda deve estar disponível para você fazer o logon, pois você ainda precisará se unir ao domínio do computador. Caso contrário, o mesmo ocorrerá após a reinicialização do computador com o cabo da LAN conectado novamente.