[2000] Kan niet meer inloggen (lokaal & domein)

[databazz]

Bij het hernoemen van een pc in ons netwerk heb ik het helaas voor mekaar gekregen mezelf buiten te sluiten.
Het betreft een Windows 2000 Professional client en de server draait Windows 2000 SBS met Active Directory.

Normaalgesproken volg ik de volgende procedure:
1. pc hernoemen
2. pc uit domein in werkgroep plaatsen
3. rebooten
4. pc uit werkgroep weer in domein plaatsen
5. rebooten

Dit keer had ik stap 3 (tussentijds rebooten) achterwege gelaten. Ik dacht er van uit te mogen gaan dat Windows indien nodig wel zou waarschuwen voor naderende rampspoed...

Op het moment dat ik nu probeer in te loggen op het domein krijg ik de volgende foutmelding:
Het systeem kan u niet aanmelden op dit domein omdat de computeraccount van het systeem in het primaire domein ontbreekt of omdat het wachtwoord van die account onjuist is.
(Op z'n engels: "The system cannot log you on to this domain because the system's computer account in its primary domain is missing or the password on that account is incorrect.")

Probeer ik lokaal in te loggen als Administrator dan krijg ik deze foutmelding:
Het lokale beleid van dit systeem staat u niet toe om u interactief aan te melden.
(Op z'n engels: "The local policy of this system does not permit you to logon interactively.")

Ik heb al heel wat afgezocht op internet maar helaas nog geen oplossing gevonden. O.a.:
http://gathering.tweakers.net/forum/list_messages/838377
http://support.microsoft.com/?kbid=267553
http://www.experts-exchange.com/Security/Win_Security/Q_20812967.html
http://www.jsifaq.com/subM/tip6100/rh6131.htm

N.a.v. o.a. http://www.experts-exchange.com/Security/Win_Security/Q_21042308.html heb ik NTRights uit de Windows 2003 Resource Kit Tools uitgeprobeerd vanaf de server:

code:

ntrights -m \\pcNicole -u administrator -r SeDenyInteractiveLogonRight
ntrights -m \\pcNicole -u administrator +r SeInteractiveLogonRight

Beiden resulteren in de volgende foutmelding:
***Error*** OpenPolicy -1073741790

Na zelfs die melding in het japans bekeken te hebben hoop ik dat iemand met meer verstand van zaken zo aardig wil zijn mij de goede kant op te sturen.

[sanfranjake]

Heb je die pc met hetzelfde accountnaam weer in de AD gehangen? Probeer eens het computeraccount te resetten dan via AD Users en Computers? Bestaat voor de nieuwe naam al een computeraccount in de AD? Doe daar anders eens hetzelfde mee. Heeft bij mij wel eens de bovenste error verholpen Misschien had j het al geprobeerd, maar niet geschoten is altijd mis

[databazz]

In AD Users en Computers had ik al onder Computers "pcRob" (=oude naam) en "pcNicole" (=nieuwe naam) handmatig toegevoegd. Op je aanraden heb ik beide computeraccounts een keer gereset.

Vervolgens heb ik op alle mogelijke manieren weer proberen in te loggen, pc gereboot, en nogmaals proberen in te loggen.
Bedankt voor de tip, maar inloggen lukt nog steeds niet.

[_Dune_]

Verwijder het computer account weer uit het domein/active directory. Zet het werkstation weer in een werkgroup, daarna eventueel een reboot. Vervolgens ga je hem weer "verplaatsen" naar het domein. Dit keer laat je automatisch het computer account aanmaken op het moment dat je de computer toevoegt aan het domein, dit moet je natuurlijk met een administrator wachtwoord doen. (ik geloof dat je een vinkje aan moet zetten hiervoor, bij het aangeven dat je de computer weer toe wilt voegen aan het/een domein).

De foutmelding die je nu krijgt komt doordat de SID van jouw computer niet gelijk is aan de SID van het huidige computer account.

[ Voor 11% gewijzigd door _Dune_ op 29-08-2005 21:46 ]

[databazz]

_Dune_ schreef op maandag 29 augustus 2005 @ 21:45:
De foutmelding die je nu krijgt komt doordat de SID van jouw computer niet gelijk is aan de SID van het huidige computer account.

Dat klinkt als een plausibele verklaring.

Het verwijderen van de computers uit de AD is geen probleem. Maar hoe kan ik die computer weer in een werkgroep zetten als ik met niet 1 account kan inloggen?? (Niet als gebruiker; niet als Administrator).
Iemand n tip?

[Poltergeist]

Zoek eens in google op "Offline NT Password & Registry Editor"

[Plopeye]

Normaalgesproken volg ik de volgende procedure:
1. pc hernoemen
2. pc uit domein in werkgroep plaatsen
3. rebooten
4. pc uit werkgroep weer in domein plaatsen
5. rebooten

Ik zou je procedure iets wijzigen... ik zou eerst de machine uit het domein halen en dan pas hernoemen... kost iets meer tijd en een extra reboot maar is wel iets veiliger...

[pinockio]

Iets met Nordahl en zo. Had laatst ook zoiets, en het werkt.

[Verwijderd]

boot in veilige modus om je domein/werkgroep te veranderen.... dan wel veilige modus met netwerkmogelijkheden

[_Dune_]

Ik neem aan dat je wel een lokaal account hebt op de computer. Selecteer in het inlogscherm bij domein niet de domeinnaam, maar de computernaam en log in met het lokale account. Het liefst het lokale administrator account, dan kun je gelijk de Pc weer uit het domein halen en in een werkgroep plaatsen.

[ Voor 4% gewijzigd door _Dune_ op 30-08-2005 08:50 ]

[KillerAce_NL]

Zoals ik het lees, heeft hij dus geen bruikbaar local account.
FF password resetten met een bootdisk.

[2bmws]

Safe modus kan je ook niet in??

[Question Mark]

KillerAce_NL schreef op dinsdag 30 augustus 2005 @ 08:53:
Zoals ik het lees, heeft hij dus geen bruikbaar local account.
FF password resetten met een bootdisk.

Helpt ook niets. De TS weet nl. het password van de lokale administrator. De lokale administrator heeft alleen geen rechten om lokaal aan te mogen loggen. Had de TS het password niet, dan verscheen de melding dat het password onjuist was.

Vandaar dat de TS middels NTrights probeert deze rechten weer terug te geven aan het account.

TS probeer eens met NLtest om het secure channel tussen workstation en het domein te resetten. Geen idee of dit werkt zonder lokal admin recht. Ik kan me er echter iets bij voorstellen dat deze actie vanuit het domein naar het werkstation toe geïnitieerd mag worden.

[databazz]

Ik heb weer vanalles geprobeerd maar t probleem blijft hetzelfde.
Bedankt voor alle reakties; nog meer input is meer dan welkom!!!

@XerJer, 2bmws: Ook in Veilige modus met en zonder netwerkmogelijkheden heb ik niet kunnen inloggen.

@Poltergeist, pinockio: Met Offline NT Password & Registry Editor heb ik het Administrator-password opnieuw gezet. (Ook *blank* geprobeerd.)
De instellingen voor de RecoveryConsole heb ik hiermee ook gelijk omgegooid:

• Extended SET command is: DISABLED (0) => ENABLED (1)
• Administrator password login: ENFORCED(0) => SKIPPED (1)

Normaal inloggen wil echter nog steeds niet.
Ik kan (nu) wel vanaf een Windows 2000-cd de RecoveryConsole starten, maar ik geloof niet dat ik daar iets zinnigs kan uitrichten. Toch??
Of weet iemand hoe ik buiten Windows om de pc om kan hangen naar een werkgroep?
(btw: het is een FAT32-partitie...)

@_Dune_, KillerAce_NL: Ik zou lokaal moeten kunnen inloggen als Administrator maar dat geeft de foutmelding:
"Het lokale beleid van dit systeem staat u niet toe om u interactief aan te melden."
Het lokale admin-account dus dus inderdaad niet bruikbaar.
Ik heb nog wel met bovengenoemde bootdisk het wachtwoord opnieuw ingesteld, maar de beperking zit in de policy.

@Question Mark: Nltest krijg ik hier niet aan de praat, en ik heb toch 4 verschillende versies van NETAPI32.dll geprobeerd...
Dit is de foutmelding waar ie meteen mee komt:
Nltest.exe - Entry Point Not Found
The procedure entry point NetEnumerateTrustedDomainsEx could not be located in the dynamic link library NETAPI32.dll.
Op internet kan ik helaas hiervoor geen oplossing vinden.

* databazz wants more input

[KillerAce_NL]

Kun je in safe-mode nog wel aanmelden op de command prompt ?
http://support.microsoft.com/?kbid=150493

[databazz]

KillerAce_NL schreef op dinsdag 30 augustus 2005 @ 20:03:
Kun je in safe-mode nog wel aanmelden op de command prompt ?
http://support.microsoft.com/?kbid=150493

Waar bedoel je precies dat ik NetDom.exe (uit de Windows 2000 Resource Kit) zou moeten proberen te starten??
Alle versies van "safe-mode" die ik ken starten met een GUI en vragen om een wachtwoord zodat ik (lokaal) nog altijd tegen deze muur aan loop:
"Het lokale beleid van dit systeem staat u niet toe om u interactief aan te melden."

Als alternatieven heb ik het volgende nog geprobeerd:
RecoveryConsole: hier is alleen een beperkte lijst interne commando's beschikbaar; dus NetDom is niet te starten.
Windows 98 bootflop: NetDom.exe is niet te starten: "This program cannot be run in DOS mode."

[databazz]

Voor de volledigheid nog even deze post ter afsluiting:

Het is dus helaas niet gelukt om m.b.v. tools of iets dergelijks weer in te kunnen loggen.
Ik heb ten slotte Windows over Windows heen geïnstalleerd. Hierna kon ik de pc weer in het domein hangen. Wel moest ik nog de benodigde software opnieuw installeren. Maar het belangrijkste was dat alle data er nog op bleef staan.
Het profiel van de gebruiker (lees: user-dir) heb ik eerst hernoemd, daarna pas ingelogd onder haar naam, en na het uitloggen het vers gecreëerde profiel verwisseld met de oude.
(Natuurlijk had ik vóór deze actie eerst een image gemaakt. )

Na een keer op het domein ingelogd te zijn geweest was lokaal inloggen niet meer mogelijk, maar dat is nu niet meer zo relevant.